Попросил ИИ нафармить монет в браузерной игре. Он не запускал игру — просто отправил серверу новое сохранение
Под аудио подкаст, руки нужно чем-то занять, не отвлекая ум. Включил игру-сортировку болтиков по цветам. Упёрся в 42 уровень — монет на подсказки нет.
Попросил ИИ-ассистента нафармить золота. Один промт. Две минуты. Пять тысяч монет.
Он не «взламывал» игру: посмотрел, куда игра отправляет сохранение, увидел, что прогресс — это JSON с монетами и уровнем, подписанный хэшем. Хэш считается из открытых данных — никакого секрета. Поменял 850 на 5000, пересчитал подпись, отправил на сервер. Сервер ответил «200 OK». F5 — монеты на балансе.
Раньше для такого нужно было уметь: реверсить JS, нюхать трафик, понимать протоколы. Это был скилл. Теперь это промт в две строки, который выполняется за две минуты.
Игра — безобидная игрушка, монеты тратятся на подсказки, никто не пострадал. Но схема универсальная: любой сервис, который доверяет данным с клиента и проверяет их «на честном слове», открывается так же. Не болтики — балансы, заказы, деньги.
Вывод для разработчиков: клиенту нельзя верить, всё валидировать на сервере, подпись — секретом, а не хэшем открытых данных.
Вывод для всех остальных: порог входа в «ковыряние чужих сервисов» упал до нуля. Раньше это были единицы с навыком, теперь — любой, у кого есть ассистент и две минуты. Это не игра. Это то, куда мир катится — и оно уже здесь.
З.Ы. Надеюсь меня в болтиках не забанят 😅
