Lima Lapisan Perlindungan Pembayaran dalam Produk yang Dibangun oleh Non-Programmer
Seorang non-programmer menjelaskan bagaimana kode yang dihasilkan oleh AI untuk pemrosesan pembayaran sering kali mengandung celah keamanan seperti manipulasi harga dan verifikasi webhook yang hilang. Ia mengusulkan alur kerja: pertama, minta model untuk menganalisis masalah dan memberikan opsi tanpa menulis kode; kemudian, uji kode yang sudah selesai dengan sesi AI baru yang ditugaskan untuk melewati pembayaran. Terakhir, ia mencantumkan lima lapisan perlindungan: logging, pemblokiran IP, kontrol pengeluaran per akun, peringatan real-time, dan penghentian darurat.
Penulis, yang bukan programmer senior tetapi membangun produk menggunakan AI, menjelaskan kelemahan keamanan umum dalam kode pembayaran yang dihasilkan oleh AI: manipulasi harga jika validasi dilakukan di sisi klien, dan kurangnya verifikasi webhook, yang dapat menyebabkan pembayaran tidak tercatat atau memberikan akses gratis. Kesalahan ini tidak terdeteksi oleh pengujian standar. Dia menyarankan untuk meminta AI menganalisis masalah dan menyarankan pendekatan yang aman sebelum menulis kode. Sebelum pengiriman, dia menjalankan sesi AI baru dengan akses hanya ke kode, dengan tugas untuk melewati pembayaran, dan agen tersebut menemukan jalur yang terlewat oleh audit pertama. Dia menerapkan lima lapisan perlindungan: pencatatan log yang komprehensif, pemblokiran otomatis IP yang mencurigakan, kontrol pengeluaran per akun, peringatan real-time, dan skrip penghentian darurat yang memutus semua koneksi eksternal. Penulis mengakui bahwa agen AI bukan pengganti untuk pengujian penetrasi profesional dan bahwa langkah-langkahnya tidak membuat produk kebal tetapi lebih sebagai target yang tidak menarik. Dia bekerja di Hikmah Labs.
Sumber: Habr — хаб ИИ —
asli