Vibe coding betyder, at man bygger software ved at beskrive sit ønske for et AI-værktøj i almindeligt sprog og løbende tilpasse resultatet. På arbejdet kan det være et dashboard, en formular eller en mindre applikation, som en medarbejder uden for udviklingsteamet bygger.
Sikkerhedsbeslutningen bliver mere krævende, når prototypen skal bruge virksomhedsdata eller tages i brug af andre. Medarbejdere skal vide, hvornår de må eksperimentere på egen hånd, og hvornår en anden person skal gennemgå applikationen.
En brugbar AI-politik gør den grænse tydelig og giver medarbejderne en praktisk vej til godkendelse.
Begynd med det arbejde, medarbejderne vil løse
Spørg teamene, hvilke værktøjer de bruger, og hvad de forsøger at bygge. En nyttig oversigt beskriver applikationens ejer, brugerne, de data, den håndterer, dens integrationer og dens kørselsmiljø.
Hold samtalen konkret. En medarbejder, der vil erstatte en gentagen regnearksopgave, har brug for en sikker vej videre. Politikken bør afspejle, at forskellige eksperimenter har forskellige risici.
Unit 42's vejledning om sikker brug af vibe-coding-værktøjer beskriver udfordringen ved at styre applikationsudvikling, når medarbejdere uden udviklerbaggrund bygger apps. Jeres politik skal forklare, hvem der står for den gennemgang og tekniske hjælp, de kan få brug for.
Skeln mellem en prototype og en forretningsapplikation
Brug en enkel grænse for gennemgang, som medarbejdere kan forstå:
| Fase | Eksempel | Beslutning, der skal træffes |
|---|---|---|
| Eksperiment | Et dashboard med fiktive poster i et godkendt værktøj. | Følg reglerne for godkendte konti og data. |
| Tilkoblet prototype | Et værktøj, der læser et virksomhedssystem eller behandler rigtige poster. | Få dataanvendelse, integrationer og adgang gennemgået før tilkobling. |
| Forretningsapplikation | En app, som kolleger, kunder eller partnere bruger. | Udpeg en ejer, og gennemfør sikkerheds- og driftsgennemgang før udgivelse. |
Kategorierne er forslag til jeres politik, ikke faste klassifikationer hos leverandørerne. Tilpas dem til jeres systemer og dataforpligtelser. Selv en lille applikation kan kræve grundig gennemgang, hvis den har vidtgående adgang eller håndterer følsomme oplysninger.
En AI-politik for kodearbejde, I kan tilpasse
Formuleringerne nedenfor er et udgangspunkt. Udfyld de godkendte værktøjer, ansvarlige personer og indberetningskanalen, før I deler politikken med medarbejderne.
Godkendte værktøjer og konti
Brug de værktøjer og arbejdskonti, vores IT- eller sikkerhedsteam har godkendt til opgaven. Godkendelsen gælder det navngivne værktøj, abonnement og konfiguration. Spørg, før du tilføjer udvidelser, integrationer eller et andet kørselsmiljø.
Flyt ikke virksomhedens arbejde til en privat konto for at komme uden om en adgangsbegrænsning. Hvis et godkendt værktøj ikke kan løse opgaven, skal du bede den værktøjsansvarlige om et alternativ.
Data og legitimationsoplysninger
Brug fiktive eller godkendte testdata til eksperimenter. Brug kun rigtige virksomhedsdata, når både værktøjet og den planlagte anvendelse er godkendt til den pågældende datatype.
Indsæt ikke adgangskoder, API-nøgler, private nøgler eller andre hemmeligheder i prompts. Brug den metode til håndtering af legitimationsoplysninger, som er godkendt til applikationen. Giv kun integrationer den adgang, opgaven kræver, og sørg for, at nogen kan tilbagekalde den.
Er du i tvivl om, hvilke oplysninger der må bruges, skal du spørge den ansvarlige for dataene, før du uploader eller tilkobler dem.
Gennemgang før tilkobling eller offentliggørelse
Bed om gennemgang, før en applikation får adgang til et virksomhedssystem, håndterer rigtige poster eller bliver tilgængelig for andre. Beskriv, hvem der må bruge den, hvad hver bruger har adgang til, og hvilke systemer den kan ændre.
En ansvarlig for gennemgangen skal kontrollere adgangsregler, datahåndtering og konsekvenserne af fejl. Gennemgangen skal omfatte en sikker kontrol af, at en bruger ikke kan tilgå en anden brugers beskyttede oplysninger. En fungerende skærm eller en vellykket demonstration er ikke tilstrækkelig dokumentation.
Menneskelig godkendelse og ejerskab
Lad en navngiven person være ansvarlig for beslutninger om udgivelse og ændringer med større konsekvenser. Et AI-værktøjs beskrivelse af sit arbejde er ikke en godkendelse til at offentliggøre noget, slette poster eller udvide adgang.
Hver forretningsapplikation skal have en ejer, en plan for vedligeholdelse og en måde at indberette problemer på. Notér, hvor kildekode, konfiguration og relevante aktivitetslogs findes. Planlæg, hvordan applikationen kan deaktiveres eller gendannes til en tidligere version, hvis det bliver nødvendigt.
Indberetning af uventet adfærd
Stop op, og kontakt vores aftalte IT- eller sikkerhedskanal, hvis værktøjet beder om uforklaret adgang, sender oplysninger til en uventet destination eller opfører sig anderledes end aftalt i opgaven.
Medtag den oprindelige opgave, den foreslåede handling, og om noget blev godkendt eller udført. Bevar relevant dokumentation uden at dele hemmeligheder med en større kreds. Følg hændelsesprocessen, hvis virksomhedsoplysninger kan være blevet eksponeret.
Understøt politikken med tekniske kontroller
En politik beskriver forventet adfærd. Tekniske kontroller skal hjælpe med at håndhæve den gennem afgrænsede legitimationsoplysninger, applikationens adgangsrettigheder og gennemgang før udgivelse.
Sikkerhedsscanning kan finde nogle problemer, men en scanning uden fund dokumenterer ikke, at appens adgangsregler passer til jeres forretning. Wiz's vejledning om sikkerhed i vibe coding beskriver samspillet mellem scanning, beskyttelse af legitimationsoplysninger og menneskelig gennemgang.
En udlægsapp kan eksempelvis fungere fint for sin skaber og samtidig vise en anden medarbejders poster. Den ansvarlige for gennemgangen bør afprøve de tilsigtede adgangsregler med sikre testkonti og fiktive data.
Introducér politikken gennem en konkret arbejdsgang
Vælg en almindelig opgave, og forklar vejen til godkendelse med det eksempel. Vis medarbejderne, hvor listen over godkendte værktøjer findes, hvem de skal spørge om data, og hvordan de beder om gennemgang.
Registrér medarbejdernes bekræftelse af politikken, og gør den nem at finde igen. En proces for politikstyring kan understøtte opfølgningen, mens awareness-træning giver medarbejdere mulighed for at øve reglerne i praksis.
Gennemgå politikken, når en integration, kørselsform eller dataanvendelse ændres. Begynd med de applikationer, medarbejderne allerede bygger: Giv hver enkelt en ejer, afklar hvilke oplysninger den håndterer, og beslut, hvad der skal være på plads før næste udgivelse.
