关键字: [亚马逊云科技， Amazon CodeGuru， 云Ai助力， 代码安全， 生命周期， 安全扫描， 安全问题修复]

导读

在这场演讲中，周宇斌从亚马逊云科技开发者关系团队介绍了如何利用云AI工具来提高代码的全生命周期安全性。他强调了代码安全的重要性，因为网络攻击频繁且复杂，合规性要求不断变化，端到端的安全漏洞可能导致严重后果。他解释了如何通过AI工具如Amazon CodeGuru、Amazon Inspector和Amazon CodeCatalyst等在代码设计、构建、测试和部署的各个阶段实现安全扫描、发现漏洞并高效修复。这些云AI工具可以帮助工程师成为安全专家，降低安全成本，并满足不断变化的合规要求。接下来，ConnectKit Hero邵逸将分享在生产环境中使用这些云AI安全工具的最佳实践和演示。

演讲精华

以下是小编为您整理的本次演讲的精华。

在当今网络攻击频繁且复杂的环境下，代码安全问题已经成为企业面临的重大挑战。根据最新的安全报告，每39秒就会发生一次安全攻击，而60%的数据泄露或风险源自软件代码漏洞。这些攻击不仅会导致数据泄露，还可能造成巨大的经济损失和信任危机。因此，企业迫切需要采取有效的安全机制或工具来应对这些威胁。

除了网络攻击带来的风险外，各行各业都面临着不断变化的合规性要求。无论是金融行业、医疗行业，还是企业在不同区域的业务扩展，都需要满足一系列安全合规的标准。这些标准往往会随时间推移而发生变化或修订，因此企业需要在代码基础层面加强安全性，以应对不断变化的合规需求。

在整个代码生命周期中，从设计到构建、测试再到上线的每个环节，任何一点的安全疏漏都可能为攻击者打开突破口。因此，企业必须端到端覆盖安全性，无论是代码扫描还是安全问题的处理，都需要全方位的关注和落实。根据IBM的最新报告，在设计阶段发现和修补安全问题的成本仅为测试阶段的1/6、生产阶段的1/30。当应用程序投入生产时出现安全风险，不仅需要付出金钱和人力成本进行修复，还可能导致客户信任度下降和业务中断，造成更多经济损失。

那么，如何在实践中加强代码全生命周期安全呢?首先是安全左移，将安全意识提前到开发的最早阶段。虽然安全左移的概念并不新鲜，但要真正落实到位并非易事。过去，企业依赖流程、企业文化和一系列工具来推进安全左移，但现在有了AI的助力，这一过程变得更加简单高效。亚马逊云科技提供了Amazon CodeGuru这样的服务，它可以将安全组织的问题变得相对简单，每个代码工程师都可以成为安全专家。CodeGuru可以对每段代码进行安全扫描，提供安全建议，甚至一键修复安全问题。它可以集成到各种生产环境中，包括企业独有的知识库和代码库，并将在IDE、CLI等多种形式中出现，帮助实现安全左移。

接下来是各阶段的安全扫描。以前在云上或现代化应用中进行安全扫描并不容易，企业需要借助像XRay这样的工具来查找应用的数据流程、资源和计算过程中可能存在的安全风险。而现在，企业还可以利用AI或模型驱动的服务，使各阶段的安全扫描、发现和处理变得更加自动化和智能化。亚马逊云科技提供了Amazon Inspector服务，它可以帮助企业实现大规模自动化发现漏洞，并与云上其他安全服务紧密集成，快速修复这些漏洞。所有服务，包括监控服务、EC2、Lambda等计算服务，都可以借助大模型或机器学习的方式进行大规模自动化修复。

另一个重点是高效检查并修复安全问题。过去，这项工作需要资深的安全专家或专业团队介入，但现在借助AI和审核工具，成本和专业程度要求都在下降，使得安全问题的检查和修复更加高效。亚马逊云科技推出了Amazon CodeCatalyst服务，它集中在CI/CD整个过程中发现安全风险，并与Amazon CodeGuru、CodeWhisperer和Amazon Inspector结合，在整个业务周期中发现风险点并快速解决。

除了上述服务，在整个应用或代码生命周期中，从认证开始，再到代码构建、测试、生产，云上已经拥有丰富有效的AI、大模型或机器学习驱动的工具，来帮助企业实现代码全生命周期安全。这些工具可以自动化地发现和修复安全漏洞，提高效率，降低成本，并确保企业满足不断变化的合规要求。

但是，如何将这些工具应用到真正的生产环境中，并发挥最大效能，仍然是一个值得探讨的课题。在视频中，ConnectKit Hero邵逸同学将为我们进行更具体、更详细的介绍和演示，分享他在生产环境中利用云上安全工具的最佳实践。

总的来说，在当今复杂的网络攻击环境下，代码安全在整个生命周期中的重要性不言而喻。企业需要采取全方位的安全措施，从设计到上线的每个环节都需要关注安全性，以降低风险、满足合规要求、保护客户信任、减少经济损失。幸运的是，云上已经拥有丰富的AI和助力工具，如Amazon CodeGuru、Inspector、CodeCatalyst等，可以帮助企业实现安全左移、自动化扫描、高效修复等，从而提高代码全生命周期安全性。企业只需要正确利用这些工具，并将其融入真实的生产环境中，就能够有效应对日益严峻的网络安全挑战。

下面是一些演讲现场的精彩瞬间：

The speaker discusses how to leverage cloud AI to enhance code security and promote a comprehensive enterprise security mindset.

The high cost of remediation: Addressing security risks in the production stage can be 30 times more expensive than addressing them during the design phase， leading to potential loss of customer trust and business disruption.

借助 AI 和模式端服务，简化了在各个应用开发阶段进行安全扫描、发现和处理安全故障的过程。

Amazon CodeGuru simplifies security for every code engineer by providing automated code scanning and security recommendations， even offering one-click fixes for identified issues， seamlessly integrating into various development environments.

Amazon Inspector， a security service that helps discover vulnerabilities at scale and quickly fix them by integrating with other Amazon Web Services security services， leveraging machine learning and automation.

Amazon introduces CodeCatalyst， a tool that helps developers identify security risks throughout the CI/CD process and integrates with CodeGuru and Amazon Inspector to quickly resolve issues.

Alibaba Cloud提供了全面的AI和大模型工具，涵盖代码生命周期的各个阶段，从认证到构建、测试到生产，帮助实现代码全生命周期安全。

总结

云技术的快速发展带来了新的安全挑战，同时也提供了利用人工智能和云端工具解决这些问题的新思路。代码安全在整个软件生命周期中至关重要，因为网络攻击频繁且复杂，合规性要求不断变化，任何环节的疏忽都可能导致安全漏洞，而及时修复漏洞的成本远低于事后补救。

亚马逊云科技提供了一系列AI驱动的工具，如CodeGuru、Inspector和CodeCatalyst，可以在代码设计、构建、测试和部署的各个阶段实现自动化安全扫描、漏洞发现和修复。这些工具不仅提高了效率，还降低了安全专家的需求，使每个开发人员都能成为安全专家。通过将这些工具整合到企业的开发生命周期中，可以实现代码全生命周期的安全性，从而提高应用程序的整体安全性和合规性。

接下来，亚马逊云科技的ConnectKit Hero邵逸将分享在生产环境中利用这些云端AI安全工具的最佳实践，并进行现场演示，展示如何将理论付诸实践，真正实现代码全生命周期的安全保障。

我们正处在Agentic AI爆发前夜。2025亚马逊云科技中国峰会提出，企业要从“成本优化”转向“创新驱动”，通过完善的数据战略和AI云服务，把握全球化机遇。亚马逊将投入1000亿美元在AI算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在AI时代突破。