Stadig mer av koden i produktene våre blir skrevet med hjelp av AI-agenter. Det betyr ikke at vi stiller mindre krav til hvordan koden utvikles og kontrolleres. Tvert imot må vi være minst like grundige når AI gjør en større del av selve kodejobben.
Før vi tar i bruk nye KI-verktøy i utviklingen, gjennomgår vi dem gjennom vår interne vendor management-prosess og gjennomfører egne AI-vurderinger («AI assessments»). Her ser vi blant annet på hvordan verktøyet behandler data, hvilke sikkerhetsmekanismer det har, og hvilke risikoer det kan introdusere i våre utviklingsmiljøer. Først når et verktøy er vurdert og godkjent, kan det tas i bruk av utviklerne våre. Dette gjelder både for verktøy som brukes direkte av utviklere, og for AI-agenter som integreres i utviklingsprosessen.
Utviklerne våre har fortsatt ansvaret for løsningene de bygger. De bestemmer hvordan løsningen skal fungere, de vurderer det AI-agentene lager og sørger for at løsningen følger kravene våre til sikkerhet, kvalitet og arkitektur. Det viktigste er ikke hvem som har skrevet hver enkelt linje med kode, men at vi forstår hvordan løsningen fungerer og kan stå inne for resultatet.
Mye av kontrollen skjer automatisk som en del av utviklingsprosessen. Koden blir blant annet kontrollert for sikkerhetsproblemer og sårbarheter i komponenter og avhengigheter, og må bestå krav til testing og testdekning, før den kan slås sammen med resten av kodebasen. AI-agentene arbeider i avgrensede miljøer og får bare tilgang til det de trenger for å løse oppgaven. Etter hvert som AI kan produsere mer kode på kortere tid, blir automatiserte kontroller og gode testregimer enda viktigere. De gjør det mulig å kontrollere store mengder kode, samtidig som utviklerne beholder forståelsen av og ansvaret for løsningen som helhet.
Dette bygger videre på sikkerhetsarbeidet vi allerede har gjort i mange år gjennom Visma Security Program. Les mer på Visma Trust Centre. Produktene våre omfattes blant annet av daglig automatisert kodeskanning, uavhengig penetrasjonstesting basert på The Open Worldwide Application Security Project, OWASP Top 10, et åpent bug bounty-program og sikkerhetsovervåking døgnet rundt. Disse kontrollene gjelder uavhengig av om koden opprinnelig er skrevet av en utvikler eller generert av en AI-agent. Der AI introduserer nye typer risiko, legger vi også til eller skjerper kontrollene.
AI endrer hvordan vi utvikler programvare. Ansvaret for resultatet ligger fortsatt hos utviklerne våre: de skal forstå løsningene de bygger, hvordan de fungerer, hvilke valg som er gjort og hvilke konsekvenser de har, og kunne stå inne for at løsningene er sikre, riktige og i tråd med arkitekturen vår.
