Ungeprüfte, von der KI gebaute App

Was ist Ungeprüfte, von der KI gebaute App?

Auch eine App, die ein KI-Assistent komplett gebaut hat, ist Software, die Ihr Unternehmen ausliefert, und sie braucht dasselbe Review wie jede andere. Hier hat eine Produktmanagerin an einem Wochenende ein Erstattungs-Dashboard gebaut und unter einem öffentlichen Vorschaulink bereitgestellt, ohne Anmeldung und mit einem Live-Zahlungsschlüssel im Code. Sie prüfen den Code, nehmen den Link offline, stellen ihn hinter der Anmeldung mit dem Firmenkonto wieder bereit, rotieren den Schlüssel in der richtigen Reihenfolge und legen eine Regel für das nächste von der KI gebaute Tool fest.

Was Sie lernen in Ungeprüfte, von der KI gebaute App

• Erklären, warum Software, die ein Assistent komplett gebaut hat, dasselbe Review, dieselbe Authentifizierung und denselben Umgang mit Secrets braucht wie jeder andere Code im Unternehmen
• Mit einer Herkunftsleiste erkennen, wie viel eines Repositorys ein Assistent geschrieben hat und wie viel davon überhaupt jemand geprüft hat
• Erkennen, dass ein Vorschaulink öffentlich ist, weil neue Zertifikate dort protokolliert werden, wo jeder nach ihnen Ausschau halten kann
• Ein exponiertes internes Tool eindämmen: offline nehmen und erst danach nur hinter dem Single Sign-On des Unternehmens wieder bereitstellen
• Einen Schlüssel, der in exponiertem Code stand, in der richtigen Reihenfolge rotieren, also zuerst widerrufen, und den Ersatz aus dem Quellcode heraushalten

Ungeprüfte, von der KI gebaute App — Trainingsschritte

1. Ein kurzer Blick vor Montag

   Lena, die Produktmanagerin von Mirefell, hat in Jotvane, dem Tracker des Teams, ein Issue für Sie angelegt. Es geht um etwas, das sie am Wochenende gebaut hat.

2. Das Repository öffnen

   Lenas Projekt öffnet sich in der Code-App: sechs kleine Dateien für Server, Routen, Konfiguration, einen Datenbank-Helfer, das Paketmanifest und eine README. In der Randleiste ist jede Zeile violett gestrichelt markiert. Claude hat sie geschrieben, und kein Mensch hat sie geprüft.

3. Von niemandem gelesen

   Die Herkunftsleiste erfasst das gesamte Repository, nicht nur die Datei, die Sie gerade sehen.

4. Keine Anmeldung davor

   Beginnen Sie mit dem Server, bei dem jede Anfrage eingeht. Lesen Sie server.ts und markieren Sie Claudes Zeilen dann in der Randleiste als geprüft: Die violette Markierung wird durchgezogen, sobald ein Mensch die Zeilen gelesen hat.

5. Ein Live-Schlüssel im Code

   Die Routen geben Rückerstattungen über Cobwenpay frei, den Zahlungsanbieter von Mirefell, also braucht der Server einen Schlüssel. Finden Sie heraus, woher er kommt: Lesen Sie config.ts und markieren Sie die Zeilen als geprüft.

6. Das öffentliche Dashboard

   Sehen Sie sich jetzt an, was dieser Code ausliefert. Öffnen Sie den Vorschaulink aus Lenas Issue im Browser neben dem Code.

7. Jeder mit dem Link

   Die Fußzeile verrät, wo die App gehostet wird. Öffnen Sie das Projekt auf Thistlepush, dem Hosting-Dienst, über den Lena die Vorschau mit einem Klick bereitgestellt hat.

8. Eine Vorschau, die niemand abgesichert hat

   Bob durchsucht öffentliche Zertifikatslogs nach neuen Vorschau-Hostnamen. Das Zertifikat für refunds-4f9c2a.thistlepush.app wurde in dem Moment ausgestellt, als Lena die App am Freitag bereitgestellt hat, der Name steht also schon in den Logs. Bob ruft ihn auf, um zu sehen, was dort ausgeliefert wird.

9. Ein Besuch von außen

   Sie sind noch dabei, Ihre Notizen für Lena aufzuschreiben, als Tomasz, Leiter der IT-Sicherheit bei Mirefell, ein Issue anlegt.

10. Warum die App so live ging