змагальний аудит

Це не один аудит. Це дисципліна.

Будь-хто може один раз провести перевірку безпеки і зробити скриншот зеленого результату. Складніше інше: знову й знову атакувати власну систему в міру її зростання і щоразу отримувати ту саму відповідь. Останній раунд: аудит із 50 агентів, виправлення за його результатами випущено, потім окремий змагальний повторний аудит із 14 ракурсів, де кожна знахідка мала витримати скептика, щоб її зарахували. Що тримається, те тримається.

що охопив останній аудит

Спершу обсяг, метод і обмеження. Кількість агентів потім.

З останнього аудиту ядра, датованого 25 вересня 2026 року. Кількість агентів показує, наскільки насиченим був аудит, а не наскільки він був якісним, тож ось що він насправді зробив.

Код: Основний пакет, 162 файли та 17,362 рядки, на одному зафіксованому коміті, а також код шлюзу, потрібний, щоб визначити, чи активний кожен шлях.
Доступ: Повний вихідний код і свіжа база даних, побудована з міграцій. Не продакшн-база; налаштування, наявні лише в продакшні, позначено як неперевірені, і я перевірив їх згодом.
Метод: Чотири рецензенти, кожен повністю прочитав один шар. Головний рецензент повторно звірив кожну знахідку з файлом і запустив кожне твердження щодо таймінгу чи шаблону, перш ніж її було зараховано.
Серйозність: HIGH означає пропущену кризу або відмову в обслуговуванні на активному шляху, витік між тенантами або втрату грошей. Середній рівень означає захист, який у разі збою пропускає запит, кредит, створений з нічого, або дані, тихо втрачені. Кожну знахідку також позначено як активну або латентну: досяжна в продакшні сьогодні чи ні.
Розбіжність: Знахідку, яку головний рецензент не зміг відтворити, відкидали або позначали як неперевірену, а не усереднювали.
Результат: 2 знахідки рівня HIGH і 13 середнього рівня. Усі виправлено того ж дня, кожну з тестом, який падав на старому коді, а повний набір тестів перезапущено в CI.
Не охоплено: Точність приблизно 7,000 рядків перекладених текстів про безпеку, продакшн-база даних, конфігурація вебсервера та 17 знахідок низького рівня, які досі відкриті.

Проведено самостійно ШІ-рецензентами, якими я керував, а не незалежне підтвердження третьою стороною.

ритм

Атакували знову, раунд за раундом. Кожну знахідку щодо міжтенантного доступу нижче виявив аудит, а не повідомив клієнт, і її виправлено.

остання

Повторний аудит у 14 ракурсах останнього виправлення: пошук залишкових обходів і регресій для кожного виправлення, кожну знахідку спростовував незалежний агент. Вціліли 2 граничні випадки низької серйозності, обидва виправлено; нічого міжтенантного, жодного порушення в грошах чи управлінні.

до нього

Аудит 50 агентами → мінімальне виправлення з 9 PR на межах сховища (календар, канали, автономний резидент, економіка тенантів, GDPR/PECR): усе випущено, протестовано, повторно розгорнуто.

до того

Аудит із 44 агентами, 9 знахідок, 3 високого рівня (зокрема витік розмов між тенантами): усі виправлено; а також аналіз розширень із 30 агентами, який виявив реальні баги як побічний ефект grounding.

Липень 2026

Аудит із 80 агентів і 14 аспектів: найперша повна перевірка, проведена за правилом спростування: жодна знахідка не зараховувалася, доки окремий агент не спробував і не зміг її спростувати. За її результатами випущено три виправлення, зокрема квадратичний імпортер вебсайтів переписано на обмежене лінійне сканування. Окрема від 50-агентної перевірки вище і передувала їй.

і раніше

змагальні проходи по всій платформі та всьому Studio, флагманський і кілька до нього: безперервний слід у git.

✓ найцінніше втримано в кожному раунді: ізоляція · гроші · governance · SSRF · домени токенів

три зі справжніх

ВИСОКА Витік розмов між тенантами

Пам'ять чату мала ключ за відправником, а не за тенантом, тож якщо гість писав двом бізнесам через платформу, розмова з одним могла з'явитися в промпті іншого. Виправлено: історія має ключ за бізнесом на рівні сховища, з тестом, який падає, якщо старий ключ повернеться. Це знайшов аудит, а не повідомив клієнт.

HIGH Провайдер, що спустошує рахунок викликача

У міжтенантній економіці інструментів постачальник міг підняти ціну наданого інструмента після того, як викликач почав ним користуватися, і спустошити його баланс. Виправлено: викликач погоджує ціну кожного виклику, fail-closed: немає згоди, немає списання, і це застосовується ще до руху бодай одного кредиту.

HIGH Кризові звернення за лічильником

Перевірка білінгу виконувалась до кризової перевірки, тож клієнт у скруті, який писав бізнесу без кредитів, отримував «недоступно» замість кризової лінії. Виправлено: кризова допомога надається безкоштовно, раніше за будь-які ліміти й списання, на кожній клієнтській поверхні.

Лінзи охоплюють ізоляцію · автентифікацію · ін'єкції · гроші · управління · бронювання · канали · автономного резидента · права на дані (GDPR/PECR) · генератор сайтів · фронтенд · експлуатацію. Вердикт у кожному раунді: жодної критичної знахідки не залишилося; ізоляція тенантів і поверхня XSS виявилися чистими; жодного робочого обходу автентифікації: кожен підтверджений граничний випадок виправлено й повторно розгорнуто.

Перезапустіть основні перевірки наживо →

чесні цифри

Кожна цифра, одразу із застереженням.

Більшість розробників прикрашають. Я волію, щоб ви довіряли тим частинам, які справжні, ніж були вражені тими, які такими не є.

1розробник* не команда

3,389тестів проходять* CI, 2026-10-01, не формальне доведення

6 → 0аудити · невиправлені критичні* проведено самостійно, не третьою стороною; нуль критичних станом на 2026-09-25, основний пакет

0відомих міжтенантних порушень у продакшені* не повідомлялося; один витік знайдено під час аудиту й виправлено, див. нижче

1продакшн-інстанс* свідомо, масштаб поки не головний урок

Система чесна, бо чесна людина, яка її спроєктувала. Я подбав про це з самого початку: вбудовано, а не прикручено згодом.

запрошення

Цифри тримаються. Застереження додаються.

Якщо вам потрібен розробник, який атакує власну роботу так жорстко, ще до того як хтось попросить, і продовжує це робити, поки система росте, давайте поговоримо.

Зв'язатися →