Розробка AI-коду

Безпечна розробка AI-коду: sandboxed environments, code review gates, верифікація ідентичності розробника

AI-розробкаsandboxcode-reviewidentityzero-trustбезпечне кодування

📎ОФІЦІЙНА ДОКУМЕНТАЦІЯ

Microsoft Zero Trust Developer Guide→

Безпечна розробка AI-коду в Zero Trust

Zero Trust для розробки означає, що жоден код, інструмент чи розробник не є довіреним за замовчуванням. Кожна дія верифікується, а середовище ізольоване.

Sandboxed Environments

Ізоляція середовища розробки

AI-агенти повинні працювати в ізольованих середовищах:

Налаштування sandbox для AI-агента

yaml

# Приклад Docker Compose для ізольованого AI-dev середовища
services:
  dev-sandbox:
    image: node:20-slim
    volumes:
      - ./project:/workspace:rw  # Лише робоча директорія
    networks:
      - restricted
    deploy:
      resources:
        limits:
          cpus: '2'
          memory: 4G
    security_opt:
      - no-new-privileges:true
    read_only: true
    tmpfs:
      - /tmp

networks:
  restricted:
    driver: bridge
    internal: true  # Без доступу до інтернету

⚠️Увага

AI-агенти не повинні мати доступ до production credentials, SSH-ключів, або інших секретів. Використовуйте окремі service accounts з мінімальними дозволами.

Обмеження файлової системи

Дозволено: робоча директорія проєкту, /tmp
Заборонено: домашня директорія, ~/.ssh, ~/.aws, /etc
Read-only: системні файли, конфігурації

Мережеві обмеження

Дозволено: npm registry, apt/yum repos (через proxy)
Заборонено: прямий доступ до інтернету, internal APIs
Логування: всі мережеві запити

Code Review Gates

Обов'язкові gates перед merge

Gate	Інструмент	Blocking
Peer Review	GitHub PR review	Так -- мінімум 1 approve
SAST Scan	Semgrep / SonarQube	Так -- без critical/high
SCA Scan	Snyk / Dependabot	Так -- без critical
Secrets Scan	GitLeaks	Так -- без findings
Tests	Jest / pytest	Так -- 100% pass
AI Code Label	Custom action	Інформаційно

Маркування AI-коду

Маркуйте код, згенерований AI, для підвищеної уваги при review:

bash

# Git trailer для позначення AI-generated коду
git commit -m "Add user authentication module

Generated-By: Claude Code
Review-Priority: High"

Правила review для AI-коду

Більше reviewers -- 2+ для AI-коду замість 1
Security review -- обов'язковий для AI-коду, що торкається auth, data, API
Test coverage -- вимога вищого покриття для AI-коду
Розуміння -- reviewer повинен розуміти кожен рядок

Верифікація ідентичності розробника

Developer Identity

Вимога	Реалізація
MFA	FIDO2 або Microsoft Authenticator
Device Compliance	Intune managed, encrypted disk, updated OS
SSH Key Management	Hardware security key, key rotation
Git Signing	GPG або SSH commit signing
Session Management	Обмежений час сесії, re-auth для критичних дій

Conditional Access для Dev Tools

Політика: "Developer Tools - Strict Access"
- Users: AI Developer group
- Apps: GitHub, Azure DevOps, AI Services
- Conditions: 
  - Device: Must be compliant
  - Location: Corporate network or VPN
  - Risk: Block if Medium or higher
- Grant: Require MFA + Compliant device
- Session: Sign-in frequency 8 hours

Secure Development Workflow

Див. також

Принципи Zero Trust

Основи архітектури Zero Trust

Тестування та деплой

Staging, canary deployments, approval gates

Code Review AI-коду

Чеклісти та інструменти

Пов'язані