AWS hướng dẫn cấu hình 'steering file' để AI phân loại lỗ hổng bảo mật dựa trên bằng chứng
AWS đăng phần hai của loạt bài về việc thiết lập hệ thống AI phân loại lỗ hổng bảo mật, tập trung vào 'steering file': bộ chỉ dẫn cố định mà trợ lý lập trình AI nạp vào đầu mỗi phiên làm việc (Kiro dùng .kiro/steering/, Claude Code dùng CLAUDE.md, Cursor dùng .cursorrules, GitHub Copilot dùng .github/copilot-instructions.md). AWS cho rằng cùng một mô hình có thể cho kết quả chặt chẽ hoặc những chuỗi tấn công bịa đặt tùy theo chỉ dẫn, nên đội ngũ mã hóa quy trình đánh giá một lần để mô hình áp dụng đồng nhất. File gồm năm phần chính, trong đó có xác minh cấu trúc (kiểm tra file và hàm được nhắc tới có tồn tại không, luồng dữ liệu có xác nhận nhận định không, có đường gọi hàm không, và loại bỏ phát hiện không đạt dù lời giải thích nghe thuyết phục). AWS cho biết khoảng 30% phát hiện của mô hình không được điều hướng trỏ tới cấu trúc mã không hề tồn tại, còn chỉ dẫn xác minh cho ra không có đường dẫn bịa đặt nào trong các thử nghiệm. Độ tin cậy cũng được thay bằng công thức từ các tín hiệu có/không: 0,30 cho taint được xác nhận (dữ liệu do người dùng kiểm soát đi tới thao tác nhạy cảm), 0,25 cho không thấy bước làm sạch dữ liệu, 0,20 cho điểm vào công khai, 0,15 cho đường gọi hàm được xác nhận và 0,10 cho loại sink khớp danh mục. AWS báo cáo các phát hiện có taint được xác nhận và không có làm sạch dữ liệu khai thác được trong 89% trường hợp khi kiểm thử trên ứng dụng có lỗ hổng đã biết. File cũng yêu cầu đọc hạ tầng dưới dạng mã (IaC) và áp dụng hệ số theo từng lớp kiểm soát, ví dụ tính đến AWS WAF đang ở chế độ chặn. Ý nghĩa là phân tích bảo mật bằng AI đáng tin cậy phụ thuộc vào cấu hình và quy tắc bằng chứng hơn là một mô hình tốt hơn, giúp giữ niềm tin của lập trình viên vào các báo cáo.
Đội ngũ bảo mật và lập trình viên dùng trợ lý AI (Claude Code, Kiro, Cursor, Copilot) có thể áp dụng cách này: viết file hướng dẫn bắt AI xác minh cấu trúc mã và chấm độ tin cậy bằng công thức rõ ràng để giảm báo cáo lỗi bịa đặt.
Đọc bài gốc