公司用 Copilot、Codex 寫 code，Secure by Design 要留低咩證據？
CIS 新指引補強 AI 開發，評估重點落喺可追查嘅日常紀錄
CIS 同 SAFECode 喺 7 月 9 日發布 Secure by Design v1.1。今次改動唔算多，重點有兩個。補充 AI 輔助開發嘅安全做法，同埋執正評估表，令內容同新嘅 ETSI 軟件安全標準對得齊。iThome 報道亦點出今次核心思路：評估一間公司有冇做好安全開發，要睇開發活動自然留下嘅紀錄，淨係睇政策文件或者一次掃描結果，證明力相當有限。
AI 寫嘅 code 冇特別通行證
新版講得幾直接：無論 code 由 Copilot、Codex、其他 coding agent 定人手寫出，都要過返既有嘅 code review、安全分析、測試同驗證。AI 可以幫手砌威脅模型、搵漏洞同建議修補方法，不過最後都要由人手把關，或者用可以重複驗證結果嘅工具覆核。至於 agent 可以操作其他軟件甚至實體裝置嘅情況，模型輸出帶有不確定性，關鍵操作最好加人工確認，或者用傳統程式邏輯限制可執行範圍。
呢個要求聽落好基本，實際會篤爆唔少「有 reviewer 撳 approve 就算」嘅流程。coding agent 可以短時間產生大量改動，人手審查速度追唔上，團隊好容易由逐行理解變成望吓測試有冇綠燈。AI 提高產量，同時放大咗審查樽頸；公司如果冇保存改動原因、測試範圍同批准紀錄，出事後連邊段 code 點解入咗 production 都未必答得到。
開發紀錄要串成一條證據鏈
CIS／SAFECode 呢套方法建基於 NIST SSDF，範圍包括安全設計、安全開發、安全預設設定、供應鏈安全、code 完整性同漏洞修補。佢重視嘅 artifact 包括設計文件、威脅模型、source code、掃描工具輸出、測試結果，同 issue tracker 入面嘅工作紀錄。關鍵係每份資料都要連得返某個版本、commit 或 release，咁先可以重現當時用邊版工具、掃過邊份 code、發現咩問題同最後點處理。
落到 Copilot 或 Codex 嘅團隊，PR 最少應標明有冇 AI 參與、改動目的、負責覆核嘅人，同埋跑過邊套測試。CI/CD 就要保存 static analysis、dependency、secret scanning 同測試輸出，失敗項目亦要有接受風險或修正嘅紀錄。指引冇硬性規定一定要儲晒所有 prompt；實務上應按資料敏感度同追查價值決定，尤其 prompt 可能夾雜客戶資料、內部 code 或憑證，盲目長期保存反而添多一個資料外洩入口。
威脅模型要真係推動改 code
有張威脅模型圖擺喺文件庫，證明力仍然有限。較完整嘅做法，係將圖入面搵到嘅 attack surface、安全要求同緩解措施逐項開成 ticket。再連去相關 commit、測試同 release。漏洞處理亦一樣：收到報告後要有分級、修補紀錄、回歸測試、root cause analysis，同類問題嘅搜尋結果；如果根源出喺開發規則、工具設定或培訓，後續改動都應留喺 tracker。呢條鏈串得起，先睇到團隊有冇由漏洞學到嘢。
採購問供應商，唔好淨係收一份聲明
企業採購軟件或者外判開發時，可以用同一思路問供應商攞證據：安全開發規則有冇正式版本、威脅模型點連去 backlog、嚴重掃描結果由邊個批、漏洞修補有冇時限同回歸測試。供應商通常唔會交出全部 source code，指引亦提到可經保密協議查看流程同抽樣 artifact。對 IT 管理人員嚟講，呢種問法實際過一句「你哋係咪 Secure by Design」，亦較容易分辨成熟流程同臨審核先補文件。
要講清楚，呢份係自願性評估指引，唔等於香港或其他市場嘅法定合規證明，亦保證唔到產品冇漏洞。佢較有用嘅地方係提供一套共同語言，叫開發團隊、資安人員同採購部門睇同一批可追查資料。公司開始大規模用 coding agent 後，下一步應先抽一個真實 release，試吓由需求、AI 改 code、人工審查一路追到測試同漏洞修補；中間斷咗嗰啲位，就係最先要補嘅流程。
參考來源
- iThome — CIS更新安全設計指引，以開發活動紀錄評估軟體安全 — original report
- Secure by Design v1.1: A Guide to Assessing Software Security Practices — CIS 官方指引頁，確認發布日期、下載內容、AI 補充同評估 spreadsheet 更新。
- CIS and SAFECode Release Secure by Design v1.1 — 官方發布資料，列出六個評估範圍，亦講明 AI 生成 code 要跟人手 code 同一套測試、審查同驗證要求。
- What About the Role of AI? Updated Guidance on Secure by Design — SAFECode 解釋今次點解更新，確認新版補充 AI 內容、修正錯漏，同 ETSI 軟件安全標準對齊。
- NIST Secure Software Development Framework — Secure by Design 指引嘅基礎框架，交代安全開發四組實務、風險導向用法，同採購方點用共同語言審視供應商。
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
