Разработчик протестировал свою кодовую базу Python с помощью LLM за $0,90 и выявил три уязвимости, одна из которых была критической. Это показывает, как доступные инструменты могут помочь в обеспечении безопасности приложения.
Контекст аудита безопасности
Недавно создатель VibeScan — недорогого сервиса для аудита безопасности на базе PDF — запустил продукт стоимостью $49, прежде чем предложить его другим пользователям. В качестве теста он решил проверить собственный код, который состоит из 124 файлов и потребовал всего 22 секунды для анализа с использованием четырёх батчей. Цена на аудит составила $0,90 благодаря оптимизации запросов к LLM.Результаты аудита
По итогам было выявлено: 0 критических и 3 уязвимости, одна из которых была реально опасна. Разработчик благополучно устранил её в тот же день. Далее подробности ключевых находок:- Средняя уязвимость: Вывод stdout/stderr без ограничения. Этот момент может привести к переполнению базы данных SQLite, если job генерирует слишком много логов. Зафиксировано: скрипт может записать сотни мегабайт логов.
- Средняя уязвимость: Хранение Gmail OAuth refresh token в открытом виде. Это создаёт рутину доступа для злоумышленников при утечке данных.
- Средняя уязвимость: Неправильная обработка HTML в Email. Использование регулярных выражений приводит к неправильной фильтрации содержимого, что может открыть двери для атак.
Практическая ценность аудита
Для российских разработчиков этот случай подчеркивает возможность использования LLM для быстрого анализа безопасности кода с минимальными затратами. Вместо возможности заплатить от $600 до $1500 другим специалистам, такая проверка обошлась всего в $0,90 и позволила выявить критически важные ошибки.Как показывает практика, использование современных инструментов для приема безопасности в проекты — это не только необходимость, но и реальная экономия.
В будущем разработчик планирует интегрировать такой подход в более широкий круг продуктов и услуг для обеспечения безопасности кода.