2025年平衡AI使用与风险：全球DevSecOps状况报告

核心观点与关键数据

• DevSecOps 现状：当前 DevSecOps 领域存在严重的不平衡，即“Dev”和“Ops”部分相对成熟，而“Sec”部分滞后，导致速度与安全之间的持续冲突。
• 速度与安全：近 60% 的组织实现每日甚至更频繁的代码部署，但安全实践（如自动化）严重滞后，45.56% 的公司仍依赖手动流程，61.64% 的组织仅测试不到 60% 的应用程序，导致安全债务不断累积。
• 工具问题：安全工具的泛滥（如 DAST、SAST、IaC 安全扫描等）并未有效解决问题，反而造成工具噪音和效率低下，71.63% 的受访者认为大部分安全警报是无用的（如重复、误报）。
• 速度与安全冲突：工具噪音和手动流程导致 81.22% 的专业人员认为安全测试拖慢了开发和交付周期，49% 完全依赖手动流程的团队尤其感受到这种负面影响。
• AI 的双刃剑：AI 被同时视为提升安全能力的工具（63.33%）和引入新风险的来源（56.55%），43.66% 的专业人员频繁使用 AI 编码助手，但 10.69% 的团队在未经授权的情况下使用 AI 工具，形成“影子 AI”问题。
• AI 管理的信心差距：88.81% 的受访者对其组织能够处理 AI 引入的复杂安全问题表示自信，尽管他们承认现有工具存在噪音、覆盖范围不足等问题。

研究结论与建议

• 首要任务：DevSecOps 专业人员最优先考虑的是“更好的开发工作流集成”（27.27%），强调将安全无缝嵌入开发者原生工作流程的重要性。
• 行动建议：
  • 优化工具链：进行无情审计，消除冗余和噪音源，整合集成度高、AI 驱动的构建管道和安全解决方案。
  • 投资开发者体验：从购买独立的“安全盒子”转向投资深度集成开发者工作流的平台和工具。
  • 建立 AI 治理框架：制定明确的 AI 使用政策，解决数据隐私和 IP 保护问题，明确责任主体。
  • 量化噪音成本：跟踪团队处理无用警报的时间，以数据支持的方式推动工具链优化。
• 未来展望：
  • AI 治理工具将加速出现。
  • 需要引领安全的 AI 能力建设。
  • 将从工具获取转向工具链优化。
  • 开发者为中心的技能差距将扩大。
• 解决方案：Black Duck 提供一体化平台（如 Polaris™）和开发者中心工具（如 Code Sight™ IDE 插件和 Black Duck Assist™），帮助实现安全工作流集成、管理 AI 风险、保护 IP 并满足 SBOM 要求。