AI-Generated Code, Vibe Coding και Secure Review — DedSec Project
AI-Generated Code, Vibe Coding και Secure Review Ελληνική έκδοση — Μάθημα 139. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την…
Ελληνική έκδοση — Μάθημα 139. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.
Αντιμετώπισε AI-generated/vibe-coded κώδικα σαν contribution από άγνωστο developer: review dependencies, authz, parsing, secrets, negative tests και deployment permissions.
Μαθησιακοί στόχοι
Στο τέλος πρέπει να μπορείς να:
- εξηγήσεις το generated-code trust model και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το specification before generation και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το dependency and package verification και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το secret handling and configuration και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το authentication/authorization review και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
- εξηγήσεις το input validation and unsafe parsing και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
Βαθιές τεχνικές έννοιες
1. AI-generated code trust model
Αντιμετώπισε generated code σαν untrusted external contribution: μπορεί να είναι plausible αλλά λάθος, stale ή insecure. Human ownership, review, tests και security controls παραμένουν υποχρεωτικά.
2. specification πριν από generation
Γράψε invariants, types, trust boundaries, error behavior και constraints πριν ζητήσεις implementation. Έτσι ελέγχεις generated code απέναντι σε specification και όχι απέναντι στο πόσο πειστικό φαίνεται.
3. dependency και package verification
Model μπορεί να προτείνει obsolete, typo-squatted ή ανύπαρκτο package. Επιβεβαίωσε package από official ecosystem, pin/lock versions και review transitive dependencies πριν install.
4. secrets και configuration
Generated examples συχνά έχουν placeholder secrets, debug mode, broad CORS ή unsafe defaults. Κράτησε secrets έξω από prompts/source και κάνε ξεχωριστό production configuration review.
5. authentication και authorization review
Generated handler μπορεί να ελέγχει login αλλά να ξεχνά object/tenant authorization. Έλεγξε subject-resource-action-tenant context και γράψε negative tests με πολλαπλές synthetic identities.
6. input validation και parsing
Generated parsers συχνά καλύπτουν μόνο happy path. Όρισε schema, size/depth limits, canonicalization, safe deserialization και σωστό output encoding για κάθε sink.
7. generated tests και false confidence
Generated tests μπορεί να αντιγράφουν την ίδια λανθασμένη υπόθεση με τον generated code. Πρόσθεσε independently designed negative/adversarial cases και δες αν test αποτυγχάνει όταν σπάσεις σκόπιμα control σε toy branch.
8. human review, provenance και change control
Εφάρμοσε protected branches, review, CI, provenance, dependency/secret scanning και rollback ανεξάρτητα από το ποιος έγραψε κώδικα. AI assistance δεν αλλάζει το ownership του τελικού artifact.
Καθοδηγούμενο εργαστήριο
Εργαστήριο 1 — Πάρε μικρό δικό σου script και έλεγξε εισόδους, αρχεία, υποδιεργασίες, δίκτυο, μυστικά και εξαρτήσεις.
Εργαστήριο 2 — Γράψε πέντε αρνητικές δοκιμές για παραγόμενο παράδειγμα σύνδεσης ή API με υποθετικά δεδομένα.
Εργαστήριο 3 — Σύγκρινε δύο σχέδια AI για την ίδια λειτουργία και αιτιολόγησε την επιλογή εκείνου με λιγότερη εξουσία και λιγότερες εξαρτήσεις.
Πλήρες αγγλικό μάθημα
Επόμενα μαθήματα
Σχετικά modules: 022, 025, 036, 040, 041, 046, 097, 098, 108, 109. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.