প্রতিকূল অডিট
এটি একটি অডিট নয়। এটি একটি শৃঙ্খলা।
যে কেউ একবার সিকিউরিটি পাস চালিয়ে সবুজ ফলাফলের স্ক্রিনশট নিতে পারে। কঠিন কাজ হলো সিস্টেম বড় হওয়ার সাথে সাথে বারবার নিজের সিস্টেমকেই আক্রমণ করা, এবং প্রতিবার একই উত্তর পাওয়া। সর্বশেষ রাউন্ড: একটি 50-এজেন্টের অডিট, তার সমাধানগুলো শিপ করা হয়েছে, তারপর আলাদা একটি 14-লেন্সের adversarial পুনঃঅডিট, যেখানে প্রতিটি ফাইন্ডিং গণ্য হওয়ার আগে একজন সংশয়বাদী পর্যালোচকের সামনে টিকে থাকতে হয়েছে। যা টিকে থাকে, তা টিকে থাকে।
সর্বশেষ অডিটে কী কী ছিল
আগে পরিধি, পদ্ধতি ও সীমাবদ্ধতা। এজেন্টের সংখ্যা পরে।
সর্বশেষ কোর অডিট থেকে, তারিখ 25 সেপ্টেম্বর 2026। এজেন্টের সংখ্যা বলে একটি অডিট কতটা ব্যস্ত ছিল, কতটা ভালো ছিল তা নয়, তাই এটি আসলে কী করেছে তা এখানে দেওয়া হলো।
- কোড
- কোর প্যাকেজ, 162টি ফাইল এবং 17,362 লাইন, একটি নির্দিষ্ট কমিটে, সাথে প্রতিটি পাথ লাইভ কি না বোঝার জন্য প্রয়োজনীয় গেটওয়ে কোড।
- অ্যাক্সেস
- সম্পূর্ণ সোর্স, এবং মাইগ্রেশন থেকে তৈরি একটি নতুন ডেটাবেস। প্রোডাকশন ডেটাবেস নয়; শুধু প্রোডাকশনের সেটিংগুলো অযাচাইকৃত হিসেবে চিহ্নিত করা হয়েছিল এবং পরে আমি সেগুলো যাচাই করেছি।
- পদ্ধতি
- চারজন রিভিউয়ারের প্রত্যেকে একটি করে স্তর সম্পূর্ণ পড়েছে। গণ্য হওয়ার আগে একজন লিড প্রতিটি ফাইন্ডিং ফাইলের সাথে মিলিয়ে আবার পড়েছে, এবং প্রতিটি টাইমিং বা প্যাটার্ন দাবি চালিয়ে দেখেছে।
- তীব্রতা
- HIGH মানে একটি লাইভ পাথে মিস হওয়া সংকট বা denial of service, একটি ক্রস-টেন্যান্ট লিক, বা অর্থ হারানো। মাঝারি মানে এমন একটি গার্ড যা fail open করে, শূন্য থেকে তৈরি একটি ক্রেডিট, বা নীরবে বাদ পড়া ডেটা। প্রতিটি ফাইন্ডিং লাইভ বা সুপ্ত হিসেবেও চিহ্নিত: আজ প্রোডাকশনে পৌঁছানো যায়, অথবা যায় না।
- মতভেদ
- যে ফাইন্ডিং লিড পুনরুৎপাদন করতে পারেনি, সেটি বাদ দেওয়া হয়েছে বা অযাচাইকৃত হিসেবে চিহ্নিত করা হয়েছে, গড়ে মিশিয়ে ফেলা হয়নি।
- ফলাফল
- 2টি HIGH এবং 13টি মাঝারি ফাইন্ডিং। সবগুলো একই দিনে ঠিক করা হয়েছে, প্রতিটির সাথে একটি টেস্ট যা পুরোনো কোডে ফেল করেছিল, এবং পুরো স্যুট CI-তে আবার চালানো হয়েছে।
- আওতার বাইরে
- প্রায় 7,000 লাইনের অনূদিত সেফটি স্ট্রিংয়ের নির্ভুলতা, প্রোডাকশন ডেটাবেস, ওয়েব সার্ভার কনফিগারেশন, এবং 17টি নিম্ন-মাত্রার ফাইন্ডিং যা এখনও খোলা।
আমার পরিচালিত AI রিভিউয়ারদের দিয়ে নিজে চালানো, স্বাধীন তৃতীয় পক্ষের নিশ্চয়তা নয়।
নিয়মিত ছন্দ
রাউন্ডের পর রাউন্ড আবার আক্রমণ করা হয়েছে। নিচের প্রতিটি ক্রস-টেন্যান্ট ফাইন্ডিং একটি অডিটে পাওয়া গেছে, কোনো গ্রাহক রিপোর্ট করেননি, এবং ঠিক করা হয়েছে।
✓ প্রতিটি রাউন্ডে মূল সম্পদগুলো অটুট ছিল, আইসোলেশন · অর্থ · গভর্নেন্স · SSRF · টোকেন ডোমেইন
আসলগুলোর তিনটি
HIGH ক্রস-টেন্যান্ট কথোপকথন ফাঁস
চ্যাট মেমরি টেন্যান্ট দিয়ে নয়, প্রেরক দিয়ে কী করা ছিল, ফলে যে অতিথি প্ল্যাটফর্মের মাধ্যমে দুটি ব্যবসাকে বার্তা পাঠিয়েছেন, তাঁর একটির কথোপকথন অন্যটির প্রম্পটের ভেতরে উঠে আসতে পারত। ঠিক করা হয়েছে: স্টোরেজ লেয়ারে হিস্টরি ব্যবসা দিয়ে কী করা হয়, এমন একটি টেস্টসহ যা পুরনো কী ফিরে এলে ফেল করে। এটি অডিটে ধরা পড়েছে, কোনো গ্রাহক রিপোর্ট করেননি।
HIGH একজন প্রোভাইডার একজন কলারকে নিঃশেষ করছে
ক্রস-টেন্যান্ট টুল অর্থনীতিতে, একজন প্রোভাইডার কোনো কলার একটি অনুমোদিত টুল ব্যবহার শুরু করার পরে তার দাম বাড়িয়ে কলারের ব্যালেন্স শেষ করে দিতে পারত। সমাধান: কলার প্রতি কলের দামে সম্মতি দেয়, fail-closed, সম্মতি না থাকলে চার্জ নেই, একটি ক্রেডিটও সরার আগেই এটি প্রয়োগ হয়।
উচ্চ মিটারের পেছনে সংকট
বিলিং চেক ক্রাইসিস চেকের আগে চলত, তাই ক্রেডিট ফুরিয়ে যাওয়া কোনো ব্যবসাকে বিপন্ন কোনো গ্রাহক মেসেজ করলে ক্রাইসিস লাইনের বদলে "unavailable" পেতেন। ঠিক করা হয়েছে: ক্রাইসিস সহায়তা বিনামূল্যে দেওয়া হয়, প্রতিটি সীমা ও চার্জের আগে, প্রতিটি গ্রাহক-মুখী সারফেসে।
লেন্সগুলোর পরিসর: আইসোলেশন · অথ · ইনজেকশন · অর্থ · গভর্ন্যান্স · বুকিং · চ্যানেল · স্বয়ংক্রিয় রেসিডেন্ট · ডেটা-অধিকার (GDPR/PECR) · সাইট জেনারেটর · ফ্রন্টএন্ড · অপস। প্রতিটি রাউন্ডে রায়: অবশিষ্ট critical শূন্য; টেন্যান্ট আইসোলেশন ও XSS সারফেস পরিষ্কার এসেছে; কোনো লাইভ অথ বাইপাস নেই: প্রতিটি নিশ্চিত এজ ঠিক করে আবার ডিপ্লয় করা হয়েছে।
সৎ সংখ্যাগুলো
প্রতিটি সংখ্যা, অ্যাস্টেরিস্ক আগে থেকেই যুক্ত।
বেশিরভাগ নির্মাতা বাড়িয়ে বলেন। যে অংশগুলো আসল নয় সেগুলো দেখে আপনি মুগ্ধ হওয়ার চেয়ে, যেগুলো আসল সেগুলোতে আপনি ভরসা করুন, এটাই আমি চাই।
সিস্টেমটি সৎ, কারণ যিনি এটি ডিজাইন করেছেন তিনি সৎ। আমি শুরু থেকেই তা নিশ্চিত করেছি, ভেতরে গেঁথে দেওয়া, পরে জোড়া লাগানো নয়।
আমন্ত্রণ
সংখ্যাগুলো টিকে থাকে। অ্যাস্টেরিস্কসহ।
যদি এমন একজন নির্মাতা চান যিনি কেউ বলার আগেই নিজের কাজকে এতটা কঠোরভাবে আক্রমণ করেন, এবং সিস্টেম বড় হওয়ার সাথে সাথে তা চালিয়ে যান, চলুন কথা বলি।
অডিটগুলো সম্পর্কে জিজ্ঞেস করুন: কী পাওয়া গেছে, কী ঠিক করা হয়েছে, কী এখনও খোলা আছে।
- কী এখনও খোলা আছে?
- সবচেয়ে খারাপ কী পাওয়া গিয়েছিল?
- এই অডিটগুলো কে চালিয়েছে?