Cinq couches de protection des paiements dans un produit conçu par un non-programmeur
Un non-programmeur décrit comment le code généré par intelligence artificielle pour le traitement des paiements contient souvent des failles de sécurité comme la falsification des prix et l'absence de vérification des webhooks. Il propose un flux de travail : d'abord, demander au modèle d'analyser le problème et de fournir des options sans écrire de code ; puis, tester le code final avec une nouvelle session d'intelligence artificielle chargée de contourner les paiements. Enfin, il énumère cinq couches de protection : la journalisation, le blocage d'adresses IP, le contrôle des dépenses par compte, les alertes en temps réel, et l'arrêt d'urgence.
L'auteur, qui n'est pas un programmeur senior mais qui crée des produits avec l'IA, décrit des failles de sécurité courantes dans le code de paiement généré par l'IA : falsification des prix si la validation est côté client, et absence de vérification du webhook, ce qui peut entraîner soit des paiements manquants, soit un accès gratuit. Ces erreurs ne sont pas détectées par les tests standards. Il conseille de demander à l'IA d'analyser le problème et de suggérer des approches sécurisées avant d'écrire le code. Avant la livraison, il lance une nouvelle session IA avec accès uniquement au code, chargée de contourner les paiements, et ces agents ont trouvé des routes manquées par le premier audit. Il a implémenté cinq couches de protection : journalisation complète, blocage automatique des adresses IP suspectes, contrôle des dépenses par compte, alertes en temps réel et un script d'arrêt d'urgence qui coupe toutes les connexions externes. L'auteur admet que les agents IA ne remplacent pas les tests d'intrusion professionnels et que ses mesures ne rendent pas le produit invulnérable mais plutôt une cible peu attrayante. Il travaille chez Hikmah Labs.
Source: Habr — хаб ИИ —
original