במהלך השבת השיקה אנת'רופיק את Claude Code Security - כלי שעושה בדיקות לקוד שכתבתם, מוצא חולשות ומציע דרכים לתיקון. בקיצור, קלוד מספק מעכשיו שירותי SAST ☁️

חלק ממניות הסייבר הגיבו בירידה, למרות שחלק מהחברות בכלל לא מספקות שירות SAST... 👀
מתוך אלו שכן מספקות שירות SAST חלק הגיבו בירידה חדה, כמו Jfrog הישראלית שנפלה ב-25%, בעוד שעל חברות אחרות לא הורגשה כל השפעה.
בקיצור, השוק מבולבל, המשקיעים לא באמת תמיד מבינים את ההשלכות של כל הכרזה, מי מושפע ולמה.

האם זה סופו של ה-SAST?

העולם משתנה לנגד עינינו בקצב מסחרר, אין ספק.
הקצב של החידושים הטכנולוגים שנוחתים עלינו כל שבוע לא משאיר לנו זמן לעכל את השינוי, גם כשמדובר בשינוי קטן באיזה מודל ובטח כשמדובר בשינוי דרמטי שיכול לשנות תהליכים ארגוניים.

כרגע זה נראה שבכל שינוי השוק הטכנולוגי מתחלק לשלוש:

1. הדרמטיים - אלו שצועקים כל שבוע שהעולם משתנה, שיש מהפיכה, שהעולם הישן נגמר ושזה הסוף של X ו-Y.

2. המתכחשים - אלו שיגידו שהם מציאותיים, שהם ראו כבר מהפיכות שלא קרו, שהם לא מפחדים משינויים, שה-AI הוזה, עושה טעויות, דביל והכל ממשיך כרגיל... הם משתמשים ב-AI כל יום אבל בטוחים שככה זה יימשך לעד, שזה עוד כלי עבודה.

3. הסקרנים - הם לא יודעים לאן העולם הולך, הם לא מגידי עתידות, הם בוחנים את הכלים החדשים, מתרשמים, מנסים להבין איך זה משפיע עליהם במיקרו ובמאקרו, מנסים לשלב את הכלים בחיי היומיום, לחלקם תהיה נטייה קלה לכיוון הדרמטי או המתכחש.

מכיוון שבארגון שלכם יש את כל שלושת הסוגים, מההנהלה ועד לעובד הזוטר, אז האימוץ של החידושים האלו נראה לפעמים כמו מערב פרוע.
חלק דוחפים לעשות שימוש כי מפחדים להישאר מאחור, חלק מפחדים לעשות שימוש ונדחפים לאחור, וחלק יושבים על הגדר, לא מפחדים מאד, אבל גם לא מאמצים בחום, בודקים, מנסים ולומדים.

מוצרי SAST אלו מוצרים מסורתיים שבחלק מהארגונים מוטמעים כבר עמוק בתוך תהליך הפיתוח, החל מהשילוב ב-IDE של המפתח ועד לשלבים שונים בפייפליין.
ההטמעה של כלי SAST אורכת לעיתים זמן, נדרשות אינטגרציות והתאמות לסביבות, שפות פיתוח, כלים צד ג׳ ועוד.
אז בארגונים גדולים כנראה שכלום לא ישתנה מהיום למחר, אבל זו לא באמת השאלה.
השאלה האמיתית היא מה יקרה בעוד X זמן, הרי ארגונים הם לא טיפשים, הם מחשבים עלות מול תועלת, הם יודעים כמה עולה להם מוצר SAST ומה הערך שהם מקבלים בתמורה, הדרך להשוואה מול המוצר החדש של קלוד הוא שאלה של מתי ולא שאלה של אם.

אני מניח שבהתחלה תהיה בדיקה קצרה של איכות, השוואת ממצאים לכלים הקיימים, ואחרי זה חישוב של עלות.
כמה עולה לנו כלי SAST לשנה? כמה PR יש לנו בשנה? מה העלות הממוצעת של קלוד עבור כל PR וכמה זה יקר או זול יותר מהכלי הקיים?
אם זה יהיה זול יותר ואיכותי יותר אז זה נו בריינר. ואפשר לקנות בורקסים לאזכרות של חברות ה-SAST.
אבל אם זה יהיה רק זול יותר או רק חכם יותר אז יתחילו ההתלבטויות.

אתם חושבים שלכלי ה-SAST המסורתיים יש סיכוי?
אני לא יודע, אנת'רופיק מבינים מצויין שארגונים יעשו את ההשואות האלו, ועליהם חובת ההוכחה גם באיכות וגם במחיר.

הם צריכים לזהות חולשות שמוצרי SAST קיימים לא מזהים, הם צריכים להוריד משמעותית את אחוז הפולס פוזיטיב והם בוודאי חייבים להוריד ל-0 את ההזיות.

אתם חושבים שזה יסתיים ב-SAST? ברור שלא.
עניין של זמן עד שהחברות הגדולות ישחררו פתרונות מבוססי AI גם לאזורים נוספים, זאת בזמן שהפתרונות הקיימים רק יילכו וישתפרו.

זה גם עניין של זמן עד שמקבלי ההחלטות בארגון שלכם ירגישו יותר בטוחים עם פתרונות AI, בטח אם זה יהיה יותר נח בכיס ויסייע להם לבנות מוצר מאובטח יותר.

עשיתי בדיקה קצרה ואני מקווה שהיא מדויקת, אבל מסתבר שעברו כמה מאות שנים מהרגע שהמציאו את הגלגל ועד שהבינו שאפשר אשכרה להוריד את הגלגל מהאובניים ולהשתמש בו בעגלה ככלי תחבורה ומשא...
מאות שנים!

אז שינויים לוקחים זמן, אבל הזמן הזה הולך ומתקצר דרמטית ככל שהטכנולוגיה מתפתחת.
אם פעם יכולתם לטמון את הראש בחול חמישים שנה ולהגיד "אתם רואים! כלום לא השתנה"
היום הדברים מתבררים מהר יותר.

אם אתם חושבים שתמשיכו לעשות את מה שאתם עושים היום בעוד X שנים אתם טועים ובגדול וכנראה שתישארו מחוץ לתעשייה.

אתם אנשים טכנולוגיים ואתם חייבים להבין כיצד המהפיכה הזו משפיעה על התפקיד שלכם, כי היא משפיעה על כל התפקידים במרחב הסייבר.
אתם לא נדרשים רק לדלוור מהר יותר ולעשות ביום את מה שעשיתם בשבוע או יותר, אתם נדרשים לעשות דברים שלא עשיתם בכלל, שלא חשבתם לעשות או שלא היה אפשרי לעשות.

תהיו סקרניים, תתנסו, תחשבו אחרת ואל תישארו מאחור.

שבוע טוב!

https://t.me/CyberSecurityIL/8504?single