Miért kell emberi kódáttekintést végezni az AI-generált kódon (és miért nincs ezzel baj)

A szoftverfejlesztés most izgalmas időket él. Claude, ChatGPT vagy okos IDE-k segítségével napok alatt készíthetsz működő kódot egy ötletből, nem hetek alatt. Leírod a funkciót, elfogadod a változtatásokat, finomhangolod, és már mehet is élesbe. Ez tényleg felpörgeti a munkát.

De van itt egy bökkenő.

Nemrég átnéztem egy ilyen módon készült kódot. Egy belső eszközről volt szó, semmi kritikus, de jól mutatja, hogyan dolgozunk 2024-ben. Nem volt benne "őrült AI" sztori. Sokkal hétköznapibb gondok: 28 hiba, főleg biztonsági lyukak, amik az OWASP Top 10-ben már két évtizede ott vannak.

Ez nem az AI veszélyességéről szól. Hanem arról, hogy a villámgyors feature-építés lehagyhatja a biztonsági alapokat.

A gond nem az AI-val van, hanem a kimondatlan kérdésekkel

A kód amúgy rendben volt. Logikus felépítés, jól tagolt részek, okos library-k. Ha én írom hétvégén, alig térne el.

A baj a háttérben lakik. Mielőtt egy sort írsz, jönnek a fontos kérdések.

Az AI szuperül megcsinálja, amit kérsz. "Írj user management rendszert" – megvan. De nem kérdez rá magától: ki férhet hozzá? Milyen adat érzékeny? Hol van az auth? Mi van, ha valaki megkerüli a frontendet?

Feature-t kapsz, nem alvásbiztos biztonságot.

Egy példa: a védtelen admin funkció

Képzeld el: serverless függvény kezeli az admin dolgokat – user létrehozás, jelszó reset, törlés. Normál cucc. A csapat jól döntött, server oldalon tartotta a erős hitelesítőket, nem vitte böngészőbe.

Csakhogy a függvényben nincs auth ellenőrzés.

Nem gyenge, nem rossz – egyszerűen semmi. Aki kinyitja a DevToolst, megtalálja az URL-t, és POST-ol, az admin fiókot csinál, resetel, vagy töröl mindent.

A frontendben szépen elrejtették a gombot nem-adminoknak. Úgy néztek ki, biztonságos. De a UI-s védelem illúzió.

Ez klasszikus authorization bypass, 2003 óta ismert. Az AI miért nem jelezte? Mert a prompt: "írj admin user létrehozó függvényt". Megcsinálta. Nem mondta senki, hogy ne engedd másnak.

Ez a lényeg: az AI nem sejti, mit felejtettél ki.

Az adatbázis, ami papíron biztonságos volt

Másik minta: az adatbázis row-level security-t támogat – korlátozza, kit mit láthat módosítani az identitása alapján. Jó modell, főleg ha frontendben API kulcs repül JS-ben.

Valaki multi-user támogatást kért az AI-tól. Megírta a migrációkat, új táblák RLS-sel. Szuper.

De az öt meglévő tábla – a valódi üzleti adat – érintetlen maradt. Lehet, hogy RLS volt rajta, lehet nem. A migráció nem nézett utána, nem kapcsolta be.

Friss infrastruktúrán npm run db:push, és az új táblák bezárva, a régiek viszont nyitva bárki felé, aki ismeri az API endpointet.

Az AI nem hibázott. Csak szűken oldotta meg, nem szólt: mindent biztonságosítani akarsz?

Mit vigyél ebből a saját munkádba

Ez nem AI-ellenes. A sebesség kincs. De kell tapasztalt szem az architektúrára, nem csak a syntaxra.

Íme, mi működik:

Készíts biztonsági checklistet építés előtt. Ki hívhatja az endpointet? Mi van, ha illetéktelen? Világolvasás-e az adat? Minden táblához kell RLS? Írd le ezeket előre.

Seniorok csináljanak threat modelinget, ne soronként nézzék. A 28 hiba nem elírás volt, hanem szerkezeti hiba. AI a kódra, ember a biztonság gondolkodásra.

Promptban legyen explicit az auth. Ne "user management endpoint", hanem "csak bejelentkezett admin hívhatja, írd le az auth feltételeidet".

Teszteld külön az authorizationt. Írj teszteket, ami ellenőrzi, hogy nem-auth user nem tud dolgokat, ne csak hogy auth tud.

A minta, amit értened kell

Az AI nem rossz kódot ír. Pont azt adja, amit kérsz, és nem ficankol a kimondatlanok miatt.

Ez előny: nem hallucinál extra követelményeket. De a felelősség rád hárul. Nem az AI gondolkodik biztonságban helyetted, hanem végrehajtja a te terveidet nagy sebességgel.

A vizsgált kódban ember mondta: "ezt auth kell". Javítás percek. 20 éves lyuk találkozott 2024-es workflow-val – és nyert, mert figyelt egy tapasztalt.

Ez a modell a következő évekre: AI a sebességre, ember az architektúrára. Mindkettő kell.

Szeretnéd elkerülni ezeket a csapdákat? A NameOcean-nél sok startup küszködik a gyors feature-ök miatti тех债-dal. A cloud hosting platformunk beépített biztonsággal készül – rate limiting, API key kezelés, audit log –, ami mindig működik, akár kérdezel rá, akár nem. Kisebb fejfájás, ha pörög a csapat.