بازبینی امنیتی کدی که هوش مصنوعی نوشته؛ ده چیزی که باید چک کنید

مدل‌های زبانی کدی می‌نویسند که «کار کند»: مسیر عادی را درست پیاده می‌کنند و چیزهایی را که در دستور نخواسته‌اید، مثل احراز هویت، اعتبارسنجی ورودی و محدودیت نرخ، جا می‌اندازند. پس قبل از انتشار، کد را نه برای اینکه «کار می‌کند؟» بلکه برای اینکه «چطور می‌شود از آن سوءاستفاده کرد؟» بخوانید.

ده نقطه‌ضعف پرتکرار

درباره‌ی شماره‌ی ۱۰

مدل‌ها گاهی نام پکیجی را می‌نویسند که وجود ندارد. مهاجمان همان نام‌ها را ثبت می‌کنند و کد مخرب در آن می‌گذارند. قبل از نصب هر پکیجی که نمی‌شناسید، ببینید واقعاً وجود دارد، چه کسی منتشرش کرده و چقدر استفاده می‌شود.

چیزهایی که به مرورگر می‌روند

هر چیزی که در کد سمت مرورگر است، عمومی است: کلیدها، منطق قیمت‌گذاری، بررسی دسترسی. بررسی دسترسی فقط روی سرور معتبر است؛ پنهان کردن یک دکمه در صفحه، امنیت نیست. (نگهداری کلید API)

روش بازبینی

1. ورودی‌ها را فهرست کنید: هر فرم، پارامتر آدرس، سربرگ و فایل.
2. هر ورودی را دنبال کنید تا جایی که به دیتابیس، فایل، دستور سیستم یا صفحه می‌رسد.
3. مسیرها را بدون ورود و با کاربر اشتباه امتحان کنید.
4. از یک مدل دیگر، در گفتگوی تازه، بازبینی بخواهید.
5. ابزار بررسی وابستگی‌ها را اجرا کنید (مثل npm audit).

دستور بازبینی

این کد را به‌عنوان بازبین امنیتی بخوان. فرض کن مهاجم هستی.
برای هر مورد فقط اگر واقعاً در کد هست گزارش بده، با فایل و خط:
احراز هویت، بررسی مالکیت، تزریق، XSS، آپلود، رمز در کد، محدودیت نرخ.
برای هر مورد یک سناریوی مشخص سوءاستفاده بنویس.

بهتر است از اول درست بخواهید

در دستور اولیه بنویسید: «همه‌ی مسیرها احراز هویت داشته باشند، ورودی‌ها اعتبارسنجی شوند، کوئری‌ها پارامتری باشند، رمزها از متغیر محیطی خوانده شوند.» خروجی به‌وضوح بهتر می‌شود، ولی بازبینی همچنان لازم است.

روی هاست

• فایل env. و بکاپ‌ها بیرون از پوشه‌ی وب.
• نمایش خطا در production خاموش، لاگ روشن.
• SSL فعال.
• بکاپ قبل از هر استقرار.

سوال‌های رایج

مدل نمی‌تواند خودش کد امن بنویسد؟

می‌تواند، اگر بخواهید و بعد بررسی کنید. مسئولیت با کسی است که منتشر می‌کند.

برای وردپرس؟

چک‌لیست افزونه‌ی وردپرس.

پروژه‌ام کوچک است؛ لازم است؟

ربات‌ها بین سایت کوچک و بزرگ فرق نمی‌گذارند.