AWS ya ofrece de forma general Continuum para vulnerabilidades de código. El servicio está diseñado para ayudar a los equipos de seguridad a encontrar vulnerabilidades en el código, comprobar si pueden explotarse, clasificarlas según su impacto en el negocio y proponer correcciones mediante solicitudes de cambios dentro de los flujos de trabajo de desarrollo.
Según AWS, Continuum crea un grafo contextual del entorno de AWS que muestra las relaciones entre recursos, identidades y conexiones de red. Puede incorporar hallazgos de vulnerabilidades existentes y analizar código; después, prueba los hallazgos en un entorno aislado para determinar cuáles son explotables. Las solicitudes de cambios propuestas incluyen pruebas de que la vulnerabilidad puede explotarse y una evaluación del posible alcance del impacto, es decir, hasta dónde podría propagarse el problema.
Automatización con revisión previa
Según AWS, Continuum selecciona un modelo de IA para cada tarea. Empieza en el modo Learn, en el que propone correcciones para que una persona las apruebe. AWS afirma que los clientes pueden pasar al modo Enforce cuando confíen en la precisión del servicio, lo que le permite actuar de forma autónoma dentro de los límites que establezcan. El anuncio no define un umbral de precisión ni explica qué límites se pueden configurar.
AWS afirma que Continuum funciona junto con Amazon GuardDuty y AWS Security Hub. El anuncio remite a una tabla de disponibilidad por región, pero la información proporcionada no especifica cuáles están disponibles. Tampoco incluye precios, detalles sobre los lenguajes de programación compatibles ni resultados independientes sobre su rendimiento.
Por qué importa
Para los equipos que ya usan servicios de seguridad de AWS, Continuum podría incorporar propuestas de corrección de código a los flujos de trabajo de desarrollo y permitirles revisar los cambios antes de activar más automatización. El anuncio no especifica las regiones, los precios ni los lenguajes compatibles, así que los equipos no pueden saber únicamente con esta información si el servicio está disponible o es adecuado para su entorno.
