Cinco capas de protección de pagos en un producto construido por un no programador
Un no programador describe cómo el código generado por IA para procesar pagos suele contener fallos de seguridad, como la manipulación de precios y la falta de verificación de webhooks. Propone un flujo de trabajo: primero, pedir al modelo que analice el problema y ofrezca opciones sin escribir código; luego, probar el código final con una nueva sesión de IA encargada de eludir los pagos. Finalmente, enumera cinco capas de protección: registro de actividad, bloqueo de IP, control de gasto por cuenta, alertas en tiempo real y apagado de emergencia.
El autor, que no es un programador senior pero construye productos utilizando IA, describe fallos de seguridad comunes en el código de pagos generado por IA: la manipulación de precios si la validación se realiza en el lado del cliente, y la falta de verificación de webhooks, lo que puede llevar a pagos faltantes o a otorgar acceso gratuito. Estos errores no son detectados por las pruebas estándar. Aconseja pedir a la IA que analice el problema y sugiera enfoques seguros antes de escribir el código. Antes de la entrega, ejecuta una nueva sesión de IA con acceso solo al código, encargada de eludir los pagos, y tales agentes encontraron rutas que la primera auditoría pasó por alto. Implementó cinco capas de protección: registro exhaustivo, bloqueo automático de IPs sospechosas, control de gasto por cuenta, alertas en tiempo real y un script de apagado de emergencia que corta todas las conexiones externas. El autor admite que los agentes de IA no sustituyen a las pruebas de penetración profesionales y que sus medidas no hacen que el producto sea invulnerable, sino un objetivo poco atractivo. Trabaja en Hikmah Labs.
Fuente: Habr — хаб ИИ —
original