CISO ứng phó tình trạng “code sprawl” do AI trong doanh nghiệp
"This article discusses the growing problem of AI-driven code sprawl, where employees use vibe coding tools and AI assistants to create applications, automations, and agents outside traditional security oversight. Security leaders from Jamf, ASOS, and Datadog describe governance approaches centered on data classification, centralized tooling, use-case registries, and enablement, while warning that policy alone is insufficient and that technical controls are needed to contain unexpected AI behavior and permission gaps."
Tác động bảo mật đáng kể do code sprawl làm giảm khả năng giám sát và tăng rủi ro lộ dữ liệu; trọng tâm là phân loại dữ liệu đúng, kiểm soát hành vi AI và thu hẹp khoảng trống quyền truy cập.
Rủi ro vận hành tăng khi tự động hóa/agent được triển khai ngoài quy trình, gây khó khăn cho kiểm toán và quản trị; đồng thời mô hình hub + use-case registry giúp tăng khả năng theo dõi và giảm chi phí xử lý sự cố.
Các lãnh đạo an ninh từ Datadog, Jamf và ASOS thảo luận về “code sprawl” đang gia tăng khi năng lực viết mã do AI được đưa đến tay mọi nhân viên. Tại sự kiện Workflow do Tines tổ chức, các diễn giả nhấn mạnh vấn đề không chỉ nằm ở mã nguồn mới, mà ở việc các ứng dụng, tự động hóa và AI agents có thể được tạo ra ngoài tầm nhìn và quy trình phê duyệt truyền thống.
Một báo cáo từ RedAccess cho biết khi quét các nền tảng vibe coding (bao gồm Lovable, Base44, Netlify), nhóm phát hiện 380.000 tài sản công khai (ứng dụng, cơ sở dữ liệu và hạ tầng liên quan) được xây dựng mà không qua rà soát bảo mật; trong đó khoảng 5.000 chứa thông tin doanh nghiệp nhạy cảm.
Các CISO cho rằng chính sách đơn thuần không đủ. Thay vào đó, họ tập trung vào phân loại dữ liệu, xây dựng mô hình “hub” cung cấp công cụ tập trung thay vì chỉ “gatekeeper”, triển khai use-case registry để truy vết mục đích và danh tính con người, đồng thời ưu tiên enablement (đào tạo và kênh sử dụng được kiểm soát). Về kỹ thuật, cần kiểm soát hành vi AI bất ngờ và thu hẹp khoảng trống quyền truy cập bằng cơ chế phân quyền chi tiết hơn (ví dụ ở mức OAuth).