Miksi AI-koodausavustajasi on tietoturva-aukko (ja miten se korjataan)

Viime viikolla huomasin, että olin antanut AI-avustajani pyörittää komentoja koneellani kuukausien ajan. Se pääsi käsiksi AWS-tunnuksiini, SSH-avaimiini, yksityisiin GitHub-reposiini ja mihin tahansa kotihakemistoni tiedostoihin. Pelottavaa? En koskaan miettinyt asiaa, koska työkalu oli kätevä eikä mitään pahaa ollut sattunut.

Tuo ajattelutapa tuhoaa tuotantoympäristöjä.

Kätevyys sokaisee turvallisuustehon

Totuus on kitkerä: useimmat AI-koodausagenti antavat samat oikeudet kuin kokeneelle infra-insinöörille. Emme antaisi uudelle urakoitsijalle vapaata SSH-pääsyä joka palvelimelle, mutta LLM:lle annamme sen vastaavan ujuttautumatta.

Ongelma ei ole pahantahto. Se on huolimattomuus. Työkalut ovat niin hyödyllisiä, että unohdamme niiden voiman. Yksi prompt-injektio klonatussa repossa, väärin linjattu tavoite tai harmiton näköinen komento voi vuotaa tunnuksesi hyökkääjälle. Et huomaa mitään.

Hyvä uutinen: työkalut kuten Claude Code tarjoavat kunnon turvakontrollit. Useimmat eivät vain aktivoi niitä.

Mitä oletusasetukset todella tarkoittavat

Monet AI-agenti pyörivät oletuksena "auto"-tilassa. Ne suorittavat komennot ilman kyselyä, ellei jotain ole eksplisiittisesti estetty. Kuulostaa tehokkaalta? Käytännössä se tarkoittaa:

Tyhjä estolista ja auto-tila antavat agentille vapauden:

• curl mihin tahansa päätepisteeseen
• wget tiedostojen lataamiseen
• ssh etäyhteyksiin
• nc satunnaisiin verkko-yhteyksiin
• Kaikkien .env-tiedostojen lukemiseen
• ~/.aws/credentials, ~/.ssh-avaimet, ~/.gnupg-kansioihin
• Suoraan koodin puskimiseen reposeihin

Kaikki tapahtuu hiljaa. Ei ilmoitusta. Ei kyselyä. Pelkkää toimintaa.

Kolmitasoinen turvamalli

Tarvitset tarkkaa hallintaa. Kaikki ei vaadi hyväksyntää, mutta kriittiset toimet kyllä. Näin rakennat sen:

Taso 1: Tiukka esto

Aloita estolistalla tunnuksiin liittyville jutuille:

{
  "deny": [
    "Read(~/.ssh/**)",
    "Read(~/.aws/**)",
    "Read(~/.gnupg/**)",
    "Read(~/.azure/**)",
    "Read(~/.kube/**)",
    "Read(~/.npmrc)",
    "Read(~/.git-credentials)",
    "Read(*.env)",
    "Read(.env.*)",
    "Bash(curl *)",
    "Bash(wget *)",
    "Bash(nc *)",
    "Bash(ssh *)"
  ]
}

Tämä on palomuurisi. Lista estää kaiken systeemitasolla, vaikka agentti yrittäisi jotain.

Taso 2: Kyselykohta

Kyselylista palautettaville mutta riskialttiille toimille:

{
  "ask": [
    "Bash(git push *)",
    "Bash(git commit *)",
    "Bash(git merge *)",
    "Bash(git reset *)",
    "Bash(npm publish *)",
    "Bash(docker push *)"
  ]
}

Agentti saattaa tarvita näitä – koodin puskea, pakettien julkaisua, konttien deploymentia – mutta tarkistat ne ensin. Saat tehon ilman peruuttamattomia virheitä.

Taso 3: Vapaakaista

Salli turvalliset operaatiot suoraan:

{
  "allow": [
    "Bash(npm run *)",
    "Bash(git status *)",
    "Bash(git diff *)",
    "Bash(git log *)",
    "Bash(ls *)",
    "Read(src/**)",
    "Read(tests/**)"
  ]
}

Nämä rullaavat ilman häiriötä. Ne eivät muuta tilaa pysyvästi tai tekevät sen turvallisesti.

Oletustilan valinta

Monet kompuroivat tähän. Estot ja kyselyt paikallaan, mutta oletustila muulle? Kolme vaihtoehtoa:

1. auto – Kaikki estämätön menee läpi hiljaa. Nopein, jos estolista on aukoton.

2. acceptEdits – Agentti lukee vapaasti, ehdottaa muutoksia, mutta kysyy bash-komennoista sallitun ulkopuolelta. Tasapainoinen.

3. ask – Kysyy kaikelta riskiltä. Hitain, mutta varmin paranoikoille.

Tiimeille acceptEdits on usein paras. Tehokkuutta säilyy, mutta päätökset ovat tietoisia.

Käytännön konfiguraatio-esimerkki

Tässä tuotantoon kelpaava asetustiedosto:

{
  "permissions": {
    "deny": [
      "Read(~/.ssh/**)",
      "Read(~/.aws/**)",
      "Read(~/.gnupg/**)",
      "Read(~/.azure/**)",
      "Read(~/.kube/**)",
      "Read(~/.npmrc)",
      "Read(~/.git-credentials)",
      "Read(~/.config/gh/**)",
      "Read(*.env)",
      "Read(.env.*)",
      "Bash(curl *)",
      "Bash(wget *)",
      "Bash(nc *)",
      "Bash(ssh *)"
    ],
    "ask": [
      "Bash(git push *)",
      "Bash(git commit *)",
      "Bash(npm publish *)",
      "Bash(docker push *)"
    ],
    "allow": [
      "Bash(npm run *)",
      "Bash(npm install *)",
      "Bash(npm test *)",
      "Bash(git status *)",
      "Bash(git diff *)",
      "Bash(git log *)"
    ],
    "defaultMode": "acceptEdits"
  }
}

Tämä antaa agentille tilaa auttaa testeissä, linttauksessa ja koodin ymmärtämisessä. Ei tunnuksille, ei puskeille ilman lupaa, ei satunnaisiin yhteyksiin.

Kaksi mindsettiä eri tilanteisiin

Käytän itse kahta aliasta:

# Oletus: tasapainoinen turva
alias cc="claude --permission-mode auto"

# Debug: täysi luotto (harvoin)
alias ccd="claude --permission-mode dangerously-skip-permissions"

cc riittää 95 %:iin duunista. ccd on hätätilaan, tietoisella riskillä. Jokainen kerta on valinta.

Alaongelma koko toimialalla

Ei vain Claude Code. Kaikki shell-komentoja pyörittävät AI-työkalut – GitHub Copilot, Devin, Cursor, ChatGPT koodin kanssa – kohtaavat saman. Helppous vs. turva.

Claude Code erottuu, koska se antaa tarkat kontrollit. Muut vaativat joko täyttä luottoa tai käyttämättä jättämistä.

Vaikutukset infraan

Tiimissä tämä on kriittistä. Et voi luottaa yksittäisiin devaajiin. Useimmat heräävät vasta vahingon jälkeen.

Harkitse:

• Pakotettuja estolistoja yhteisissä asetuksissa
• Tunnustiedostojen estoja tiedostotasolla
• Tilapäisiä tunnuksia pitkän elämän sijaan
• Verkkotason estoja vuodoille
• Koulutusta tehon ja riskin erottamisesta

Yhteenveto

AI-koodausavustajat ovat mahtavia ja kannattavia. Mutta eivät ilmaisia. Kontrollit ovat olemassa – käytä niitä.

Aloita nyt. 15 minuuttia estolistan pystytykseen tunnuksille. Kyselylista deploymentteihin. Sopiva oletustila. Sitten voit työskennellä rauhassa: tehokkaasti ja rajatusti.

"Ei ole sattunut mitään" ei ole turvastrategia.