自分のコードをAIに攻撃させたら"守り"が全部ザルだった

セキリュリティはそこそこ意識してると言いつつ、データの所有権が適当とのお笑いコンテンツが出てきて話が入ってこない

セキュリティ実装がともすれば実装する側の独りよがりになりがちというというのは分かっていたことではあってそのためのペネトレーションだが、それすらガチの攻撃者には及ばない時代だね

IDORはマジで「分かっちゃいるけど忘れる」の典型。人間が飽きる全件チェックをAIが黙々とやってくれるのは普通に有用だな

そこそこ意識しているがこのレベルなら人類にはセキュリティは無理でしょ

これはとても良い反省。偉い。

コレでやってるつもりと言われましても…/とは言え程度の差なんだろうな

流石に個人開発の話だよね？？企業で開発してるならこの人だけじゃなく、レビューやテストした人のレベルもヤバい。

このレベルだとAI関係なく、単に認証と認可の違いとかセキュリティの基本を分かってなかっただけの素人でした、としか読めないので、最新の攻撃に耐えられなかったとかエモな感じが欲しい

AIエージェントに自分のサービス攻撃させよう！っていう結論自体は、これからはむしろ公開前の最低ラインになると思うのでいいと思う／shannonのリンク先404だけどKeygraphHQな奴に移動したのかね

冒頭を"セキュリティちゃん"と読んでしまったせいで、妙な部分に感情移入してしまう。

これって、単なる実験ではなく、現実でも起こりうるってわけでしょ？もう起こってるのかな？

OWASPのチェックリストを上から順に潰したと言ってるけど、知識だけで実践が身についてない（もしくは元々無い）の良い例。こういうのをshannonみたいな自動AIで潰せるのは良いと思う。

試したい

「shannon」という自律型AIハッキングツール、Snyk入れろ、SonarQube入れろ

セキュリティー詳しくない私でも、最初の「ログインしたら誰にでもちょっかい出せる」のところで察した。

北朝鮮もソーシャルエンジニアリングにAIを活用してるご時世

このレベルの知識の人が実務に携わってると流石に思いたくないけど個人開発とかだよね…？

この基本的な技術力の無さを見抜ける人事・外注選定が必要なんだけど難しいんだろうなぁ。中身は他の人が言ってるのでもう言わないけど、これをネットの海に公開して人的危険を周知してくれたことには感謝

“これ、SQLインジェクションでもXSSでもない。OWASPのチェックリストで真っ先に出てくる「Broken Access Control」なのに、僕は完全に見落としていた。”

「自分のコードを攻撃するAIエージェントを、開発プロセスに組み込む」