Заставил нейросеть искать дыры в коде и честно посчитал, сколько она находит
Если попросить ИИ-агента «проверь код на уязвимости», он выдаст красивый отчёт. Спросите завтра то же самое, и отчёт будет другой. Что он проверил, а что пропустил, не узнаете никогда.
Меня это бесило, потому что проверка кода на безопасность это моя тема, и хотелось, чтобы нейросеть работала как нормальный аудитор: по списку, с доказательствами, с памятью о прошлых проверках. Готового такого я не нашёл и написал сам. Называется aiegis.
Работает так: вы даёте программе список требований (например, «пароли не хранятся открытым текстом»), а она гоняет ИИ-агента по каждой части проекта и заставляет отчитаться по каждому пункту. Сказать «всё ок» без ссылки на конкретный код агент не может, программа такой ответ просто не принимает. А закрыть найденную проблему может только человек.
Дальше самое интересное. Я взял 36 настоящих уязвимостей из реальных проектов, убрал из кода все подсказки и запустил.
Итог:
нашёл от 40 до 57 процентов, в зависимости от набора;
на уже исправленном коде зря паниковал примерно в 10% случаев;
одна проверка стоит около 22 центов.
Не магия, но и не ноль. И находит стабильно: три прогона, одни и те же результаты.
Смешной вывод: я шесть раз переписывал инструкции для нейросети, тратил деньги, и ни один вариант не нашёл ни одной новой уязвимости. Промпт-инженерия, кажется, переоценена.
Подвох тоже есть: эти уязвимости публичные, и нейросеть могла видеть их при обучении. На вашем коде цифры будут скорее ниже.
Программа бесплатная, код открытый: github.com/seelentov/aiegis
Если вы программист и не жалко полчаса, прогоните её на своём проекте и напишите, что сломалось. Комментарии читаю.