عبر اختبارات الاختراق التي أجريناها هذا العام على تطبيقات الويب والواجهات البرمجية وأنظمة ERP، تكررت أنماط معينة مراراً.
- خلل التفويض على مستوى الكائنات في الواجهات البرمجية (IDOR)
- حسابات خدمة بصلاحيات زائدة ومفاتيح واجهات برمجية مسرّبة
- حقن الأوامر في مساعدي الذكاء الاصطناعي المضافين حديثاً
- غياب تحديد المعدل على نقاط المصادقة
- وحدات خارجية قديمة بثغرات معروفة (CVE)
ما الذي يجب فعله
انقل الأمن إلى بداية دورة التطوير: انمذج التهديدات للميزات الجديدة، وأضف فحص SAST والاعتماديات إلى خط التكامل المستمر، وجدول اختباراً يدوياً قبل كل إصدار رئيسي. وتعامل مع ميزات الذكاء الاصطناعي على أنها معالجات لمدخلات غير موثوقة، لأنها كذلك فعلاً.
