非プログラマーが構築した製品における5層の支払い保護

著者は、シニアプログラマーではないがAIを使って製品を構築している人物で、AIが生成した決済コードに共通するセキュリティ上の欠陥について述べています。それは、クライアント側のみでのバリデーションによる価格改ざん、Webhookの検証不足（支払いの未検知や無料アクセスの付与につながる）です。これらのエラーは標準的なテストでは検出されません。彼は、コードを書く前にAIに問題を分析させ、安全なアプローチを提案させることを推奨しています。納品前に、コードのみにアクセスできる新規のAIセッションを実行し、支払いを回避する任務を課しました。そのようなエージェントは、最初の監査で見逃した経路を発見しました。彼は5つの保護層を実装しました。包括的なログ記録、不審なIPの自動ブロック、アカウントごとの支出制限、リアルタイムのアラート、およびすべての外部接続を遮断する緊急シャットダウンスクリプトです。著者は、AIエージェントは専門的なペネトレーションテストの代わりにはならず、彼の対策は製品を無敵にするのではなく、攻撃の標的として魅力を減らすだけだと認めています。彼はHikmah Labsで働いています。