Fünf Sicherheitsebenen für Zahlungen in einem Produkt, das ein Nichtprogrammierer entwickelt hat
Ein Nichtprogrammierer beschreibt, wie KI-generierter Code für die Zahlungsabwicklung häufig Sicherheitslücken wie Preis-Manipulation und fehlende Webhook-Verifizierung aufweist. Er schlägt einen Arbeitsablauf vor: Zuerst das Modell bitten, das Problem zu analysieren und Optionen ohne Code zu liefern; dann den fertigen Code mit einer neuen KI-Sitzung testen, die beauftragt ist, Zahlungen zu umgehen. Schließlich listet er fünf Schutzebenen auf: Protokollierung, IP-Sperrung, Ausgabenkontrolle pro Konto, Echtzeit-Warnungen und Notabschaltung.
Der Autor, der kein Senior-Programmierer ist, aber Produkte mit KI entwickelt, beschreibt häufige Sicherheitslücken in KI-generiertem Zahlungscode: Preis-Manipulation, wenn die Validierung clientseitig erfolgt, und das Fehlen einer Webhook-Verifizierung, was entweder zu verpassten Zahlungen oder zur Gewährung von kostenlosem Zugang führen kann. Diese Fehler werden von Standard-Tests nicht erkannt. Er rät, die KI zu bitten, das Problem zu analysieren und sichere Ansätze vorzuschlagen, bevor Code geschrieben wird. Vor der Auslieferung führt er eine neue KI-Sitzung durch, die nur Zugriff auf den Code hat und den Auftrag hat, Zahlungen zu umgehen. Solche Agenten fanden Wege, die die erste Prüfung übersehen hatte. Er implementierte fünf Schutzschichten: umfassende Protokollierung, automatische Blockierung verdächtiger IP-Adressen, Ausgabenkontrolle pro Konto, Echtzeit-Warnungen und ein Notfallabschalt-Skript, das alle externen Verbindungen kappt. Der Autor gibt zu, dass KI-Agenten keinen Ersatz für professionelles Penetrationstesting darstellen und dass seine Maßnahmen das Produkt nicht unverwundbar machen, sondern lediglich zu einem unattraktiven Ziel. Er arbeitet bei Hikmah Labs.
Quelle: Habr — хаб ИИ —
Original