AI agent va inson-mutaxassis: Sipar tekshiruvi qanday ishlaydi

Sipar tekshiruvi haqida eng ko'p beriladigan ikki savol: "AI agent kodimizni ko'radimi?" va "Agar hammasini AI qilsa, natijaga qanchalik ishonish mumkin?". Bu maqolada jarayonni boshidan oxirigacha ochiq tasvirlaymiz: kim nima qiladi, qaysi bosqichda va qanday chegaralar ichida.

Qisqa javob shunday: Claude AI agenti ko'rib chiqishni tezlashtiradi, inson-mutaxassis har bir topilmani tasdiqlaydi va tuzatish uchun javob beradi. Kirish faqat o'qish uchun beriladi va NDA asosida ishlanadi.

Nima uchun ikkalasi kerak

Rasmiy kiberxavfsizlik ekspertizasi odatda ikki turdagi muammoni topadi.

Birinchisi — tipik, takrorlanadigan muammolar: yetishmayotgan xavfsizlik headerlari, eskirgan kutubxonalar, ochiq portlar, xavfsiz bo'lmagan konfiguratsiya, kodda qolgan http:// havolalar. Bularni topish uchun ko'p fayl va sozlamani tez va izchil ko'rib chiqish kerak. Bu yerda AI agent kuchli.

Ikkinchisi — mantiqiy muammolar: foydalanuvchi boshqa birovning ma'lumotini ko'ra oladimi, to'lov tasdiqlanmasdan "muvaffaqiyatli" sahifa chiqadimi, amallarni noto'g'ri holatda bajarish mumkinmi. Bular mahsulotning biznes jarayonini tushunishni talab qiladi. Bu yerda inson-mutaxassisning qo'lda tekshiruvi hal qiluvchi.

O'z mahsulotimiz ekspertizasida bu ikki tur ham uchragan edi: ochiq portlar va ma'lumot oshkor bo'lishi kabi tipik topilmalar bilan birga, to'lov tasdiqlanishidan oldin muvaffaqiyat sahifasi ko'rsatilishi kabi biznes-mantiq xatosi ham bor edi. Shuning uchun jarayonimiz ikkala yondashuvni birlashtiradi.

1-bosqich: ariza va NDA

Hammasi ariza bilan boshlanadi: qanday mahsulot (veb-sayt, portal, mobil ilova), qaysi texnologiyalar, qaysi ekspertizaga tayyorlanyapsiz va muddatlar qanday.

Ishni boshlashdan oldin maxfiylik kelishuvi (NDA) imzolanadi va kirish doirasi kelishiladi:

• repozitoriyga faqat o'qish huquqi (read-only);
• kerak bo'lsa, test muhitiga kirish;
• mobil ilova uchun APK/IPA fayllar.

Production ma'lumotlar bazasiga, real foydalanuvchi ma'lumotlariga yoki yozish huquqiga ehtiyoj yo'q va biz ularni so'ramaymiz.

2-bosqich: avtomatik va AI-skan

Bu bosqichda avtomatik vositalar va Claude AI agenti mahsulotni keng qamrovda ko'rib chiqadi:

• Kod — xavfli naqshlar, avtorizatsiya tekshiruvi yo'q joylar, kodda qolgan kalitlar va maxfiy qiymatlar;
• Konfiguratsiya — framework sozlamalari, debug rejimi, ishonchli proxy va host sozlamalari, mobil ilovada manifest va Info.plist;
• Bog'liqliklar (dependencies) — ma'lum zaifliklari bor kutubxona versiyalari;
• HTTP headerlar — CSP, HSTS, X-Frame-Options va boshqalar;
• Server — ochiq portlar, TLS sozlamalari, keraksiz xizmatlar.

Natija — topilmalar ro'yxati, har biri OWASP Top 10, ASVS, MASVS yoki CWE toifasiga bog'langan. Lekin bu hali yakuniy hisobot emas. AI agent ba'zan noto'g'ri ijobiy natija (false positive) beradi yoki xavf darajasini noto'g'ri baholaydi. Shuning uchun keyingi bosqich majburiy.

3-bosqich: qo'lda tekshiruv

Mutaxassis ikki ishni qiladi.

Birinchidan, AI topilmalarini tasdiqlaydi yoki rad etadi. Har bir topilma qayta tekshiriladi: haqiqatan ekspluatatsiya qilinadimi, qaysi sharoitda, xavf darajasi qanday.

Ikkinchidan, avtomatik vositalar yaxshi topa olmaydigan joylarni qo'lda tekshiradi:

• Biznes-mantiq — to'lov, buyurtma, ariza kabi jarayonlarda qadamlarni chetlab o'tish yoki noto'g'ri holatda amal bajarish mumkinmi;
• Avtorizatsiya — oddiy foydalanuvchi administrator funksiyasiga kira oladimi;
• IDOR — so'rovdagi identifikatorni o'zgartirib, boshqa foydalanuvchining ma'lumotini olish mumkinmi;
• Fayl yuklash — fayl turi, hajmi va saqlash joyi to'g'ri cheklanganmi, yuklangan fayl bajarilishi mumkinmi.

4-bosqich: tuzatish

Topilmalar tasdiqlangach, ularni yopish bosqichi keladi. Mijozga qulay ikki format bor:

• Patch yoki pull request — tuzatishni o'zimiz tayyorlaymiz, jamoangiz ko'rib chiqib qabul qiladi. Kod sizning nazoratingizda qoladi, biz to'g'ridan-to'g'ri hech narsani o'zgartirmaymiz.
• Yo'riqnoma — agar kodni ichki jamoa o'zgartirishni afzal ko'rsa, har bir topilma uchun aniq ko'rsatma: qaysi fayl, qaysi sozlama, nima uchun.

Server sozlamalari (firewall, portlarni yopish, boshqaruv panelini IP ro'yxati orqasiga olish) odatda yo'riqnoma ko'rinishida beriladi va sizning administratoringiz tomonidan bajariladi.

5-bosqich: qayta skan va tayyorlik hisoboti

Tuzatishlar kiritilgach, 2- va 3-bosqichdagi tekshiruvlar qayta o'tkaziladi: topilma haqiqatan yopildimi va tuzatish yangi muammo keltirib chiqarmadimi.

Yakunida tayyorlik hisoboti beriladi: nima topildi, nima yopildi, nima qoldi (agar bo'lsa) va nima uchun. Hisobotda mobil ilova uchun topshiriladigan fayl va uning nazorat qiymatlari kabi amaliy tafsilotlar ham bo'ladi.

Tayyorlik hisoboti — rasmiy sertifikat emas. Sertifikat yoki xulosani faqat rasmiy ekspertiza beradi. Biz mahsulotingizni unga tayyorlaymiz va ma'lum teshiklarni oldindan yopamiz.

Bu yondashuvning chegaralari

Ochiq aytish kerak bo'lgan narsalar:

• AI ko'rib chiqishni tezlashtiradi, lekin mutaxassis o'rnini bosmaydi. Har bir topilma inson tomonidan tasdiqlanadi.
• Hech qanday tekshiruv barcha zaifliklarni topishni kafolatlamaydi. Biz ekspertiza tekshiradigan standartlar (OWASP, ASVS, MASVS) bo'yicha ishlaymiz va ularni izchil qamrab olishga harakat qilamiz.
• Kirish faqat o'qish uchun va NDA asosida. Ma'lumotlaringiz kelishilgan doiradan tashqariga chiqmaydi.

Skanerlash

Jarayonni o'z mahsulotingizda ko'rmoqchimisiz? Skanerlash uchun ariza qoldiring. Birinchi bosqichda mahsulotingizning umumiy holatini ko'rib chiqamiz va ekspertizadan oldin qaysi yo'nalishlarga e'tibor berish kerakligini aytib beramiz.