Броня для кода и контейнеров: «Солар» сформировал портфель технологий для защиты ПО от рисков ИИ в разработке

Согласно данным Аналитического центра ГК «Солар» и экспертов направления безопасной разработки компании, ИИ и платформенный подход стали ключевыми драйверами, которые определяют развитие рынка AppSec. В России этот сегмент рынка ИБ растет на 15% год к году − с 2,8 млрд рублей в 2025 году и до прогнозируемых 5,7 млрд к 2030 году. В мире объем рынка решений для безопасной разработки составил $14,16 млрд в 2025 году с прогнозом по росту до $ 26,5 млрд также к 2030 году.

Для ГК «Солар» сегмент безопасной разработки входит в число приоритетных направлений собственных и партнерских продаж. Поэтому с учетом тенденций клиентского спроса компания сформировала на базе трех технологий − Solar appScreener, Luntry и Hexway – портфель решений для комплексной защиты приложений от ИИ-угроз. Он охватывает пять ключевых этапов жизненного цикла ПО и формирует единый контур безопасности − от обнаружения уязвимостей до управляемого устранения и контроля рисков на этапах эксплуатации ПО. Решения по безопасной разработке «Солара» используют более 230 компаний в России в финансовом, ИТ-секторе, ритейле, промышленности.

ИИ как драйвер для рынка AppSec

Эксперты Solar appScreener отмечают, что ИИ кардинально изменил профиль рисков для безопасности приложений. Согласно исследованию «Солара» и УЦСБ, 82% организаций используют ИИ для разработки ПО. С одной стороны, вайбкодинг позволяет ускорить разработку приложений в сотни раз, с другой - приводит к резкому росту уязвимостей в коде: за счет растущих объемов разработки и попыток переложить самые трудоемкие процессы верификации и устранения уязвимостей на неспециализированные LLM. Например, публичные языковые модели (DeepSeek, ChatGPT и др.) неточно определяют до 40-50% уязвимостей, которые можно выявить с помощью инструментов статического анализа кода.

Поверхностный анализ кода, непредсказуемость результатов анализа приводят к тому, что снижается безопасность разработки софта в CI/CD-контейнерах (изолированных исполняемых средах (обычно Docker или Kubernetes), которые позволяют автоматизировать сборку, тестирование и доставку кода, гарантируя его идентичную работу на любом сервере). Как показывают актуальные исследования безопасности приложений «Солара», в 75-80% массовых цифровых сервисов уже содержатся критичные уязвимости, которые могут приводить к утечкам конфиденциальной информации пользователей. Поскольку ИИ на стороне атакующих сокращает в десятки раз «окно» для реализации уязвимостей – с 63 дней в 2019 году до нескольких часов в 2025 году − эта проблема становится все более острой.

Вайбкодинг также снижает стабильность поставок ПО, усиливает дублирование кода наряду с ростом уязвимостей. Свой вклад вносят ИИ-агенты для разработки, создавая риски теневого ИИ, взлома внешних систем, получения доступа к реальной инфраструктуре. Например, в общем объеме утечек конфиденциальной информации в LLM доля исходного кода составляет 41%.

Антон Прокофьев

директор центра разработки решений по контролю безопасности ПО, ГК «Солар»

«ИИ в безопасной разработке усиливает запрос на платформенные решения, которые позволяют обеспечить защиту приложений в трех основных сценариях. В первую очередь, это безопасность ИИ-систем на протяжении всего жизненного цикла и эффективное использование ИИ в процессах разработки. Не менее важна и защита пользователей, инфраструктуры бизнеса от атак с использованием ИИ, который кратно повышает вероятность реализации уязвимостей в коде».

Технологии «Солара» в основе платформы для защиты приложений от рисков ИИ

Для снижения рисков ИИ для безопасности приложений «Солар» сформировал комплексную защиту приложений – от кода до контейнеров – на основе трех технологий: Solar appScreener, Hexway и Luntry. Этот подход позволяет повысить эффективность процессов разработки, соответствовать требованиям ФСТЭК России и Банка России и стандартам безопасной разработки (включая ГОСТ Р 56939), оптимизировать ФОТ и снизить зависимость от дефицита квалифицированных экспертов на рынке AppSec.

ИИ-плагин, интегрированный в модуль статического анализа кода (SAST) продукта Solar appScreener, – LLM-модель, обученная на данных проектов по безопасной разработке более 1000 компаний в течение семи лет. Продукт снимает с разработчиков рутинные и трудоемкие задачи по верификации, исправлению уязвимостей с точностью более 90% на этапе триажа и до 85% на этапе кодфикса, а также автоматически подбирает и обновляет перечень зависимостей в коде. Возможности ИИ-плагина Solar appScreener повышают емкость команд в 10 раз: он выполняет объем задач, для которых потребовалось бы 10 AppSec-экспертов и годовой ФОТ свыше 30 млн рублей.

ИИ-плагин настраивается под требования разработчика ПО, позволяет применять логику верификации ко всем обнаруженным уязвимостям или только к высокоприоритетным рискам. Таким образом, Solar appScreener сокращает число ложных срабатываний при SAST-анализе и в десятки раз ускоряет устранение уязвимостей, поддерживая производительность команды разработки без ущерба для безопасности софтверного продукта. ИИ-плагин может быть развернут в закрытом контуре, работает без доступа в интернет, что минимизирует риски утечек данных во внешние сервисы и платформы для обмена кодом.

В контексте защиты приложений от рисков ИИ-платформа Luntry для комплексной безопасности контейнерных приложений и систем оркестрации Kubernetes усиливает возможности Solar appScreener и Hexway ASOC. Решение «понимает» контекст работы ИИ-кластеров и ИИ-агентов в процессах разработки и обеспечивает защиту в трех сценариях. В первую очередь, это приоритизация уязвимостей в коде, сгенерированном или проверенном с помощью ИИ, что позволяет эффективно распределять ресурсы команды разработки. Второй сценарий – это обнаружение и предотвращение неизвестных угроз, включая потенциальные 0-day и 1-day атаки. Третий сценарий – «недоверенный код, как на ладони», который обеспечивает полную прозрачность происходящего в кластере Kubernetes и контейнерах с ИИ-сгенерированным кодом и ИИ-агентами.

ASOC-платформа Hexway, в свою очередь, лежит в основе процесса DevSecOps, который управляет процессами разработки приложений. Платформа позволяет контролировать четыре трека. Она формирует очередь на исправление уязвимостей на основе результатов сканирования SAST, DAST, SCA, пентестов и ручных проверок кода, чтобы исключить дубли и повторные срабатывания. На этапе приоритизации и триажа учитывается критичность уязвимости, достижимость, эксплуатируемость и требования SLA. ИИ помогает проводить первичный триаж, группировать похожие находки и выделять вероятные ложные срабатывания.

На этапе исправления уязвимостей платформа ускоряет процессы. Благодаря интеграции с публичной и локальной LLM, а также встроенному ML-компоненту, Hexway ASOC в этом случае объясняет проблему в контексте приложения, формирует рекомендации по исправлению и помогает подготовить безопасный вариант кода и проверочный тест. Платформа ASOC также помогает контролировать сроки, исключения и статусы, например, если уязвимость закрывается после повторной проверки, то руководитель проекта видит не только количество найденных проблем, но и динамику риска. Данные меры позволяют работать с большим потоком уязвимостей в коде, в том числе, сгенерированном ИИ, и получать конкретные задачи на исправление.

Таким образом на базе трех технологий «Солар» формирует единый контур безопасности – от кода до runtime. Он охватывает пять этапов: разработку кода, сборку ПО, тестирование, выход релиза «в прод», эксплуатацию, обеспечивает агреграцию данных, приоритизацию процессов разработки, выполнение SLA и контроль метрик.

ИТ, финтех, промышленность и энергетика формируют спрос на платформенные решения в AppSec

Платформа технологий для безопасной разработки «Солара» отвечает запросу на подобный подход в AppSec. В рамках концепции Shift-Left (сдвиг влево по графику разработки ПО) кибербезопасность – это неотъемлемая часть, признак качества софтверного продукта, за который разработчик отвечает с самого начала. Этот подход позволяет снизить риски, упростить управление процессами DevSecOps/РБПО, оптимизировать затраты бизнеса и ускорить выход релизов. Поэтому крупный бизнес уже переходит от отдельных инструментов анализа кода к консолидации инфраструктуры разработки в рамках DevSecOps-платформ и централизованного управления ASOC/ASPM. Эти технологии дополняют решения класса CNAPP (Cloud-Native Application Protection Platform), которые защищают приложения в процессе их реальной работы (runtime) в облаках и средах Kubernetes, блокируя атаки на контейнеры.

По оценке «Солара», платформа технологий в безопасной разработке будет наиболее востребована в ИТ- и финансовом секторе, промышленности, энергетике, ритейле.

Потребность в платформенных решениях в AppSec также привязана к объему собственной внутренней разработки ПО. Лидером в этом направлении является ИТ-индустрия, основной бизнес которой связан с созданием цифровых продуктов и облачных платформ. Для ИТ-компаний переход на платформенные решения в AppSec — это технологическое условие эффективной бизнес-модели. Платформенный подход снижает риски атак на цепочки поставок ПО (Software Supply Chain Security) и гарантирует, что разработчики не передадут клиентам уязвимый или скомпрометированный продукт.

Например, разработка в финансовом секторе требует ежедневного обновления приложений, такая любая уязвимость может привести к финансовым потерям и жестким санкциям Банка России. Поэтому необходимы безопасная разработка «под ключ» с первых строк кода, контроль соответствия требованиям регуляторов рынка, автоматическая оркестрация рисков, короткие сроки для выхода «в прод», которые может обеспечить платформа решений «Солара».

Спрос на платформенные решения в промышленности и энергетике во многом связан с переходом на собственную разработку ПО для управления производством, предиктивной аналитики оборудования и ИИ-систем. Ошибка в коде или компрометация контейнера Kubernetes на заводе может привести не просто к утечке данных, а к физическим авариям на объектах КИИ. В инфраструктуре таких организаций платформа решений «Солар» обеспечит полный контроль на всех этапах разработки, включая соответствие требованиям к ПО для КИИ, устранение рисков ИИ и уязвимостей в ПО со стороны подрядчиков.

По итогам первого полугодия 2026 года более 230 компаний используют решения по безопасной разработке ГК «Солар». В их число входят банки и ИТ-компании, ритейлеры, энергетические, транспортные и логистические компании. 35 ИТ-партнеров в России также реализуют проекты на рынке AppSec для крупных клиентов на базе собственных продуктов и технологий «Солара». В число ключевых партнеров по безопасной разработке входят ГК Softline, «Инфосистемы Джет», Swordfish, УЦСБ, «Кросс Технолоджис», ГК «Астра», НОТА (входит в ИТ-холдинг «Т1») и другие компании.