FixVibe
Covered by FixVibemedium

AI жасаған веб-бағдарламаларда қауіпсіздік тақырыбын енгізу жеткіліксіз

AI жасаған веб-қосымшалар Content Security Policy (CSP) және HSTS сияқты маңызды қауіпсіздік тақырыптарын жиі орындамайды. Бұл зерттеу автоматтандырылған қауіпсіздік бағалауының және DAST интеграциясының болмауы жылдам орналастырылған AI қолданбаларында алдын алуға болатын осалдықтарға қалай әкелетінін зерттейді.

CWE-693

Әсер

Шабуылшылар тораптар арасындағы сценарийді (XSS), кликтерді және [S1][S3] ортадағы машина шабуылдарын орындау үшін қауіпсіздік тақырыптарының жоқтығын пайдалана алады. Бұл қорғаныссыз пайдаланушының құпия деректері эксфильтрациялануы мүмкін және қолданбаның тұтастығы [S3] шолғыш ортасына енгізілген зиянды сценарийлер арқылы бұзылуы мүмкін.

Негізгі себеп

AI басқаратын әзірлеу құралдары көбінесе қауіпсіздік конфигурацияларынан гөрі функционалды кодқа басымдық береді. Демек, AI арқылы жасалған көптеген үлгілер қазіргі браузерлер [S1] терең қорғаныс үшін сүйенетін маңызды HTTP жауап тақырыптарын өткізбейді. Сонымен қатар, әзірлеу кезеңінде біріктірілген динамикалық қолданбалы қауіпсіздік сынағының (DAST) болмауы [S2] орналастыру алдында бұл конфигурация олқылықтарының сирек анықталатынын білдіреді.

Бетонды түзетулер

  • Қауіпсіздік тақырыптарын іске асыру: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options және ZXCVFIXVIBETOKEN3ZXFIXVIBETOKEN3ZXCVCVCV4. қосу үшін веб-серверді немесе қолданба құрылымын конфигурациялаңыз.
  • Автоматтандырылған бағалау: [S1] жоғары қауіпсіздік қалпын сақтау үшін тақырыптың болуы мен күші негізінде қауіпсіздік ұпайларын қамтамасыз ететін құралдарды пайдаланыңыз.
  • Үздіксіз сканерлеу: қолданбаның шабуыл бетіне [S2] үздіксіз көрінуін қамтамасыз ету үшін автоматтандырылған осалдық сканерлерін CI/CD құбырына біріктіріңіз.

FixVibe оны қалай тексереді

FixVibe мұны қазірдің өзінде пассивті headers.security-headers сканер модулі арқылы қамтиды. Қалыпты пассивті сканерлеу кезінде FixVibe мақсатты шолғыш сияқты алады және CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Remissions.Po, Remissions.Po için мәнді HTML және қосылым жауаптарын тексереді. Модуль сондай-ақ әлсіз CSP сценарий көздерін белгілейді және JSON, 204 нұсқасындағы жалған позитивтерді, қайта бағыттауды және тек құжат тақырыптары қолданылмайтын қате жауаптарын болдырмайды.