AI povedala, že je kód bezpečný. Prečo jej to nestačí veriť
AI nástroje dnes píšu a kontrolujú veľkú časť kódu. Sú rýchle a často presné. Keď však napíšu „bezpečnostné problémy som nenašiel“, znamená to len to, že ich nenašli v tom, čo videli.
Čo AI vidí a čo nie
Jazykový model hodnotí kód, ktorý dostane do kontextu. Mimo jeho zorného poľa často ostáva:
- konfigurácia databázy a prístupové pravidlá nastavené mimo repozitára,
- nastavenia cloudových služieb, kľúče a oprávnenia,
- správanie bežiacej aplikácie: čo reálne vráti server, keď príde nečakaná požiadavka.
Najčastejšia slepá škvrna: oprávnenia len v aplikácii
Moderné cloudové databázy (napríklad Supabase alebo Firebase) dovoľujú prehliadaču komunikovať s databázou priamo, pomocou verejného kľúča. Bezpečnosť vtedy stojí na pravidlách v samotnej databáze.
Ak aplikácia kontroluje, kto smie čo robiť, ale databáza nie, stačí aplikáciu obísť. AI kontrola aplikačného kódu takú chybu ľahko prehliadne, lebo kód sám o sebe vyzerá správne.
Prečo AI znie istejšie, než by mala
Modely sú trénované byť nápomocné a jasné. Odpoveď „všetko je v poriadku“ znie profesionálne, aj keď model nemal k dispozícii všetko potrebné. Istota v tóne nie je istota v obsahu.
Ako to robíme my
- Vývoj a kontrola s AI: Kód píšeme a kontrolujeme pomocou AI technológií. Každú zmenu automaticky posúdi jazykový model v CI/CD pipeline.
- Pravidlá v databáze, nie len v aplikácii: Klient nemá zápisové práva tam, kde ich nepotrebuje.
- Automatické bezpečnostné testy proti reálnej databáze: Overujú, že neprihlásený ani bežný používateľ sa nedostane k cudzím dátam.
- Kritický nález blokuje nasadenie: Kým nie je opravený, zmena nejde do produkcie.
- Kontrola bezpečnostným expertom: Pred nasadením prejde aplikáciu náš bezpečnostný expert a hľadá všetky možné chyby: v kóde, v databáze, v nastaveniach aj v tom, čo AI nevidí.
AI je výborný nástroj na písanie aj kontrolu kódu. Nie je to však záruka bezpečnosti. Keď vám AI povie, že je všetko v poriadku, berte to ako prvý názor. Posledné slovo má u nás vždy bezpečnostný expert.
Chcete vedieť, ako je na tom vaša aplikácia?
Pozrieme sa na ňu a povieme vám, kde sú riziká.