Т-Банк: ИИ-ассистент Safeliner ускорил поиск и исправление уязвимостей

По словам вице-президента, директора департамента информационной безопасности «Т-Банка» Дмитрия Гадаря, в условиях высокого спроса на опытных ИТ-специалистов разработчики сосредоточены на развитии продукта и могут допускать ошибки, которые затем превращаются в уязвимости. Обучение безопасной разработке требует много времени и глубокого погружения, поэтому часть специалистов уделяет безопасности кода недостаточно внимания. Это создаёт дополнительные киберриски для продуктов. Банк поставил задачу устранять потенциальные уязвимости ещё на этапе написания кода (подход shift left), не отвлекая разработчиков на глубокое изучение вопросов безопасности.

Safeliner — ИИ-ассистент по информационной безопасности. Он анализирует отчёты инструментов статического анализа кода (SAST) и работает с любыми отчётами в стандартном формате SARIF. Ассистент отфильтровывает ложные срабатывания, с помощью большой языковой модели генерирует понятные разработчикам подсказки и описания проблем, а также предлагает варианты автоматического исправления уязвимостей с учётом корпоративной базы знаний. Контекст для модели собирается из внутренней базы знаний, отраслевых стандартов (например, OWASP), графового представления кода (AST, DFG, CFG), описания уязвимости из отчёта и разметки пользователя. Ассистент собирает обратную связь разработчиков, чтобы корректировать правила поиска и алгоритмы исправления.

«Т-Банк» внедрил Safeliner в августе 2024 года; ассистент применяется для внутренних задач компании. Он создан в привычной для разработчиков среде GitLab: модель предлагает исправление в коде, и разработчику остаётся его принять. Все модели работают внутри корпоративного контура, внешние API и сторонние сервисы не используются. По данным банка, процессы поиска и исправления уязвимостей ускорились до 5 раз. Компания планирует открыть доступ к Safeliner другим компаниям; несколько партнёров уже тестируют продукт.