Сейчас одна из самых востребованных услуг в айти - проверить на дыры то, что человек написал с ИИ. Миллионы людей кодят каждую секунду, собирают сайты, приложения, автоматизации - и понятия не имеют, как это все внутри устроено. К нам тоже приходят с таким аудитом
Что находим чаще всего:
1. ключи прямо в коде. Живой ключ от платного сервиса лежит в репозитории, бывает, что и в открытом
2. админка и ручки, которые меняют данные, без всякой проверки, кто вообще пришел
3. свалка мертвого кода. Куски проекта не используются, но лежат и мешают
Что я думаю: пока это проект для себя - дыры твое личное дело. Ну поломают, ну перепишешь. Терпимо. А вот когда внутри появляются чужие деньги и чужие данные, история другая: первый платеж, первый чужой телефон в базе. Вот тут уже надо смотреть, и желательно до того, как выкатил
Короче, я собрал из разных кусочков свою наработку и выкладываю ее вам
Пользоваться просто. Кидаете своей нейронке ссылку и пишете:
https://github.com/syrtsovk/Syrtsovk_toolkit/tree/main/plugins/v
поставь все и проверь мой проект.
Потом идет по коду участок за участком, по заданному маршруту, а не как в «глянь, нормально ли там все», где она смотрит куда захочет. И каждую находку обязана доказать ссылкой на файл и строку - не доказала, значит снимает, это догадка. На выходе отчет: насколько срочно, что нашли, чем грозит, как починить
Пару правил я туда зашил специально. Нашла живой ключ - первой строкой пишет «перевыпусти его сейчас», до всего остального. Код без спроса не правит, аудит и починка - разные работы. И если находок ноль, так и говорит, а не придумывает, лишь бы отчет был не пустой
Оговорюсь, чтобы никого не подвести. Это не пентест. Ищет она типовые ошибки, поэтому пустой отчет означает «типового не нашли», а не «у вас все безопасно». Скрипт видит шаблоны, смысл видит уже нейронка, и то поймает не все. И чинить за вас она не будет - находит и объясняет, дальше руками
В общем, если кодите с ИИ - забирайте себе. Лучше найти это самому, пока в базе только ваш собственный телефон. И репостните тем, кто кодит