tgoop.com/devsecops_weekly/1297
Last Update:
Изгоняя демонов SAST
Всем привет!
Такое название отчету (который можно найти в приложении) дала Ghost Security. Он посвящен результатам исследования возможности использования LLM для оптимизации времени разметки результатов, генерируемых SAST.
В рамках исследования Команда:
🍭 Просканировала порядка 3000 репозиториев open source проектов
🍭 Проанализировала более 2000 сработок
🍭 Потратила 350 часов (~ 2 месяца) для того, чтобы найти 180 истинных срабатываний
Итог простой и очевидный – нужно «что-то», что поможет как-то оптимизировать процесс. И этим «чем-то», конечно, стала LLM.
В отчете достаточно детально описана методика тестирования (что анализировали, что искали, какие инструменты использовали).
Правда не хватает описания используемых LLM и соответствующих prompt’ов.
Единственное, что указано: чтобы сработка считалась истинной необходимо выполнение 3х условий. Код достижим, возможна эксплуатация через external input, ИБ-контроли отсутствуют.
Был ли у вас опыт использования LLM для разметки результатов SAST и если да, то какой?
BY DevSecOps Talks
Share with your friend now:
tgoop.com/devsecops_weekly/1297