Sempre più codice nel tuo repository viene scritto da un agente rispetto a un anno fa, e la percentuale è destinata solo a crescere. Gli agenti sono bravi a far funzionare le cose. Sono bravi a sbloccarsi da soli. Quello che non sanno è quali framework di conformità la tua azienda deve rispettare, perché queste informazioni risiedono in un documento di policy che non è da nessuna parte vicino al loro contesto.
Il risultato è una nuova e crescente fonte di rischio di conformità: codice che è corretto, unito e silenziosamente non conforme a un controllo che nessuno ha comunicato all'agente.
Il comodo jolly
Un agente sta collegando un nuovo servizio interno e una richiesta cross-origin fallisce. Il modo più veloce per sbloccare la chiamata è consentire ogni origine. L'agente lo fa, la richiesta va a buon fine, il compito viene contrassegnato come completato. È una mossa ragionevole per qualcosa il cui compito è far funzionare il codice.
app.use(cors({- origin: ["https://app.example.com"],+ origin: true, // reflect any origin credentials: true,}))Riflettere qualsiasi origine con credenziali allarga chi può accedere a una superficie autenticata, che è esattamente ciò di cui tratta CC6.1 (accesso logico): accesso limitato a ciò che è autorizzato. Il codice è corretto e la richiesta funziona. Il controllo è più debole di prima che l'agente lo toccasse.
Perché questa è la nuova frontiera
La deriva dei controlli scritta dagli umani avviene un PR incauto alla volta. La deriva dei controlli scritta dagli agenti avviene alla velocità e al volume con cui lavorano gli agenti, e senza il giudizio implicito che un ingegnere senior porta con sé ('dovrei davvero aprire questo a tutti?'). L'agente ottimizza per il compito che ha davanti, e 'soddisfare SOC 2 CC6.1' non è il compito che ha davanti.
Man mano che la percentuale di codice scritto dagli agenti aumenta, aumenta anche la percentuale di modifiche che nessun umano ha revisionato attentamente per la conformità. Questa è la deriva, e si accumula.
La pull request è l'unico punto di controllo
Non puoi mettere il PDF della policy nel contesto di ogni agente e fidarti che si conformi. Ma il lavoro dell'agente arriva comunque come pull request, e la pull request è l'unico punto già presente nel flusso di lavoro in cui una modifica può essere controllata prima di essere distribuita, che sia stata scritta da una persona o da un agente.
heygrc è progettato per leggere ogni PR rispetto ai tuoi framework e citare il controllo che una modifica tocca, sia che sia scritta da un agente o meno, in modo che il comodo jolly venga segnalato come un problema CC6.1 direttamente nel diff.