Застосунок від ШІ без рев'ю
Його за вихідні написав помічник. Ніхто не переглянув.
Що таке Застосунок від ШІ без рев'ю?
Застосунок, який ШІ-помічник написав від початку до кінця, — це все одно ПЗ, яке випускає ваша компанія, і воно потребує такого самого рев'ю, як і будь-яке інше. Тут менеджерка з продукту за вихідні зробила панель повернень і виклала її за публічним посиланням на попередній перегляд — без входу й з робочим платіжним ключем у коді. Ви переглянете код, знімете посилання з публікації, повернете його за корпоративним входом, замінете ключ у правильному порядку й запишете правило для наступного інструмента, зробленого з ШІ.
Що ви дізнаєтесь у Застосунок від ШІ без рев'ю
- Поясніть, чому програмне забезпечення, яке помічник написав від початку до кінця, потребує такого самого рев'ю, автентифікації й поводження з секретами, як і будь-який інший корпоративний код
- Користуйтеся смугою авторства, щоб побачити, яку частину репозиторію написав помічник і яку частину хтось переглянув
- Усвідомлюйте, що посилання на попередній перегляд публічне, бо нові сертифікати потрапляють у журнали, за якими може стежити будь-хто
- Локалізуйте розкритий внутрішній інструмент: зніміть його з публікації, а потім поверніть лише за корпоративним єдиним входом
- Замінюйте ключ, що лежав у розкритому коді, у правильному порядку: спершу відкликайте, а новий ключ виносьте з вихідного коду
Застосунок від ШІ без рев'ю — Кроки навчання
-
Швидкий погляд до понеділка
Лена, менеджерка з продукту в Mirefell, створила для вас у Jotvane, трекері команди, задачу про застосунок, який вона зробила за вихідні.
-
Відкрийте репозиторій
Проєкт Лени відкривається в застосунку Code: шість невеликих файлів — сервер, його маршрути, конфігурація, допоміжний модуль для бази даних, маніфест пакета й README. У смузі ліворуч від рядків кожен рядок позначено фіолетовим пунктиром. Його написав Claude, і жодна людина ще не переглядала.
-
Ніхто цього не читав
Смуга авторства рахує весь репозиторій, а не лише файл, який у вас перед очима.
-
Перед застосунком немає входу
Почніть із сервера: через нього проходить кожен запит. Прочитайте server.ts , а потім позначте рядки Claude як переглянуті у смузі ліворуч від рядків: фіолетова позначка стає суцільною, щойно їх прочитала людина.
-
Робочий ключ у коді
Маршрути схвалюють повернення через Cobwenpay, платіжного провайдера Mirefell, тож серверу потрібен ключ. З'ясуйте, звідки він береться: прочитайте config.ts і позначте його рядки як переглянуті.
-
Публічна панель
Тепер подивіться, що віддає цей код. Відкрийте в браузері, поруч із кодом, посилання на попередній перегляд із задачі Лени.
-
Будь-хто за посиланням
У нижній частині сторінки сказано, де її розміщено. Відкрийте проєкт на Thistlepush — хості для попередніх переглядів в один клік, на якому Лена розгорнула застосунок.
-
Попередній перегляд, який ніхто не закрив
Боб стежить за публічними журналами сертифікатів і шукає нові імена хостів для попередніх переглядів. Сертифікат для refunds-4f9c2a.thistlepush.app видали тієї самої миті, коли Лена розгорнула застосунок у п'ятницю, тож ім'я вже є в журналах. Боб відкриває сторінку, щоб побачити, що вона віддає.
-
Візит ззовні
Ви ще дописували нотатки для Лени, коли Томаш, керівник служби безпеки Mirefell, створив задачу.
-
Чому застосунок вийшов таким
Охоплення стандартів безпеки
OWASP Top 10
- A07:2025 Authentication Failures
CWE
- CWE-306 Missing Authentication for Critical Function
- CWE-798 Use of Hard-coded Credentials
MITRE ATT&CK
- T1552.001 Unsecured Credentials: Credentials In Files
CIS Controls
- CIS 16 Application Software Security
- CIS 6 Access Control Management
NIST CSF
- PR.AT-02 Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind
- PR.PS Platform Security
- PR.AA Identity Management, Authentication, and Access Control