Web uygulamalarının çoğu, OWASP Top 10 listesinde yer alan en az bir güvenlik açığı içerir. Geleneksel bir güvenlik denetimi 2-3 hafta sürer ve 10.000 doların üzerinde maliyet oluşturabilir. Ancak yapay zeka modelleri, belirli CVE'ler yerine kod kalıplarını tarayarak ilk denetimi birkaç saate indirebilir. Bu makalede, Claude ile üretim kodunda yapılan denetimde bulunan 15 güvenlik açığı, OWASP Top 10 (2021) sınıflandırmasına göre listelenmiştir. Her bir açık için savunmasız kod, saldırı vektörü ve düzeltilmiş versiyon sunulmaktadır.
Denetim metodolojisi üç aşamadan oluşur: geniş tarama, derin analiz ve doğrulama. İlk aşamada, LLM tüm projeyi alır ve güvenlik açığı kalıplarını arar. İkinci aşamada, belirlenen her kalıp, middleware, ORM ve framework bağlamında doğrulanır. Üçüncü aşamada ise, yanlış pozitifleri elemek için her bulgu manuel olarak incelenir. Claude için kullanılan prompt, çıktı yapısını tanımlar ve öncelikle enjeksiyon saldırıları, ardından bozuk erişim kontrolü ve diğer kategorilere odaklanır. Bu yapılandırılmış yaklaşım, kritik güvenlik açıklarının e-posta doğrulama gibi önemsiz yorumlarla karışmasını engeller.
En sık karşılaşılan açık, SQL enjeksiyonudur. ORM kullanan projelerde bile, geliştiriciler karmaşık filtreler için ham sorgulara yöneldiğinde bu açık ortaya çıkar. Örneğin, kullanıcı arama API'sinde sorgu parametrelerinin doğrudan birleştirilmesi, saldırganın veritabanını düşürmesine olanak tanır. Düzeltme, parametreli sorgular ve izin verilen sütun adları için beyaz liste kullanımını içerir. Benzer şekilde, MongoDB sorgularında req.body'nin doğrudan kullanılması NoSQL enjeksiyonuna yol açar; $ne operatörü ile şifre doğrulaması atlanabilir. Çözüm, String() ile açık tip dönüşümü ve bcrypt ile şifre karşılaştırmasıdır. Komut enjeksiyonu da yaygındır; exec yerine execFile kullanımı ve dosya adı doğrulaması ile önlenebilir.
Uzmanların Görüşleri
Bozuk erişim kontrolü kategorisinde en sık görülen açık, Güvensiz Doğrudan Nesne Referansıdır (IDOR). Herhangi bir kimliği doğrulanmış kullanıcının, başka bir kullanıcının siparişini görüntülemesine izin veren bir API uç noktası, saldırganın sipariş kimliklerini sırayla deneyerek tüm siparişlere erişmesine olanak tanır. Düzeltme, kullanıcının yalnızca kendi siparişlerine erişebilmesi için yetkilendirme kontrolü eklemeyi gerektirir. Bu ve diğer 12 açık, yapay zeka destekli güvenlik denetiminin ne kadar etkili olabileceğini göstermektedir. Geliştiriciler, bu tür denetimleri düzenli olarak yaparak uygulamalarının güvenliğini önemli ölçüde artırabilir.
