Автоматизация верификации AI-кода для Cyber Resilience Act: руководство для ВКР

Практические темы ВКР на основе статьи

Ниже — три варианта тем, которые напрямую используют описанный подход. Каждая включает цели, задачи и структуру по главам.

Основная часть: как применить материал статьи в дипломе

1. Глава 1 — Анализ требований CRA и инструментов

В первой главе вы можете описать положения Cyber Resilience Act, касающиеся AI-систем: обязательность статического анализа (SAST), генерацию SBOM, верификацию на каждом этапе CI/CD. Сошлитесь на статью как на практический прецедент. Рекомендую включить сравнение стандартов:

• OWASP Top 10 — для классификации уязвимостей AI-кода (например, инъекции в промпты).
• ISO/IEC 25010 — для оценки качества (security как подхарактеристика).
• ГОСТ 34.602-89 — если вуз требует техническое задание по стандарту.

Пример описания в дипломе: «Требования CRA к AI-компонентам включают автоматическое тестирование безопасности на каждом коммите, что подтверждается практикой, описанной в [источник: статья Security Boulevard]».

2. Глава 2 — Проектирование автоматизированного пайплайна

Здесь вы строите архитектуру. Используйте нотацию C4 (контекст, контейнеры, компоненты). Покажите, как SonarQube получает код из репозитория, выполняет SAST-правила (например, для Python AI-библиотек) и отправляет результаты в базу. Дополнительно — генератор SBOM (например, CycloneDX Maven Plugin). Пример конфигурации для GitLab CI:

# .gitlab-ci.yml
stages:
  - security

sast:
  stage: security
  image: sonarsource/sonar-scanner-cli:latest
  script:
    - sonar-scanner \
        -Dsonar.projectKey=ai-cra-check \
        -Dsonar.sources=. \
        -Dsonar.host.url=http://sonarqube:9000 \
        -Dsonar.login=${SONAR_TOKEN}
  only:
    - main

generate-sbom:
  stage: security
  image: cyclonedx/cyclonedx-python
  script:
    - cyclonedx-py -o sbom.json
  artifacts:
    paths: [sbom.json]

Такой код можно вставить в приложение к диплому.

3. Глава 3 — Метрики и экономическая эффективность

Оцените, как автоматизация влияет на время выпуска релиза. Посчитайте:

• TTR (Time to Remediate) — среднее время от обнаружения уязвимости до фикса.
• Coverage — процент кода, проверенный SAST за цикл.
• False positive rate — доля ложных срабатываний.

Исходные данные можно взять из статей (например, в оригинале указано «без замедления разработки»). Постройте график «До/После» — вручную vs автоматически. Если нет реальных данных, смоделируйте на учебном репозитории (например, GitHub-проект с AI-чат-ботом).

Чему вы научитесь

Типичные ошибки студентов при работе с этой темой

FAQ: ответы на частые вопросы студентов

1. Можно ли использовать free-версию SonarQube в дипломе?

Да, SonarQube Community Edition бесплатен и поддерживает SAST. Для SBOM понадобится CycloneDX-плагин — он также open-source. В главе «Инструменты» укажите эти ограничения и объясните, что enterprise-функции можно симулировать.

2. Как оформить результаты сканирования в пояснительной записке?

Лучше всего — скриншот дашборда SonarQube с подсветкой найденных уязвимостей и текстовые выдержки из отчёта. Приложите SBOM в формате JSON как приложение. Главное — показать, что вы умеете интерпретировать данные.

3. Какие ГОСТы требуются для такой работы?

Рекомендую ГОСТ 34.602-89 (ТЗ на АС) и ISO/IEC 25010 (качество ПО). Если вуз лоялен, можно ограничиться ссылками на CRA и OWASP — уточните у научного руководителя.

4. Нужен ли реальный проект или достаточно учебного кода?

Достаточно учебного AI-проекта (например, простая модель классификации). Всё равно придётся делать сканирование. Реальный заказчик — плюс, но не обязателен. Главное — продемонстрировать пайплайн.

Чек-лист «Что проверить перед сдачей»

Мягкий CTA

Источник: Cyber Resilience Act AI Automated Verification (опубликовано 2026-03-13)