ความประมาทจากระบบอัตโนมัติ ในเวอร์ชันความปลอดภัย

ช่วงเวลาที่อันตรายที่สุดไม่ใช่วันแรก — แต่เป็นวันที่เก้าสิบ ในวันแรกคุณระมัดระวัง คุณอ่านทุกดิฟฟ์ คุณรันพรอมป์แบบผู้โจมตี คุณตรวจสอบตัวจัดการการอัปโหลด แล้วเมื่อการเปลี่ยนแปลงร้อยครั้งถูกปล่อยออกไปโดยไม่มีอะไรเลวร้ายเกิดขึ้น การตรวจสอบก็เริ่มรู้สึกเหมือนพิธีกรรม คุณข้ามประตูตรวจสอบไป "แค่ครั้งนี้ครั้งเดียว" สำหรับการเปลี่ยนแปลงเล็ก ๆ การเปลี่ยนแปลงเล็กนั้นเพิ่มเอนด์พอยต์ที่ไม่มีการตรวจสอบสิทธิ์เข้าไป ไม่มีอะไรเกิดขึ้นสักพัก เพราะการไม่มีอะไรเกิดขึ้นนั่นแหละคือลักษณะของช่องโหว่ด้านความปลอดภัยเมื่อมองจากภายใน

นี่คือความประมาทจากระบบอัตโนมัติที่ชี้ไปที่ความปลอดภัย และมันแย่กว่าที่ไหน ๆ เพราะความล้มเหลวด้านความปลอดภัยนั้นเงียบและมาช้า ฟีเจอร์ที่พังจะลงโทษคุณภายในไม่กี่นาที แต่การตรวจสอบสิทธิ์ที่พังจะให้รางวัลคุณด้วยความสำเร็จที่ดูเหมือนจริงไปเรื่อย ๆ จนกว่าจะถึงจุดที่ถูกเจาะระบบ การไม่มีหายนะไม่ใช่หลักฐานของความปลอดภัย — มันคือสภาวะปกติของแอปที่มีช่องโหว่ที่ยังไม่ถูกพบเท่านั้นเอง

การป้องกันคือทำให้ประตูตรวจสอบนั้นถูกจนคุณไม่ข้ามมันไป และเป็นอัตโนมัติมากพอจนคุณไม่สามารถข้ามมันได้ ใส่การสแกนความลับและ audit ไว้ใน CI เพื่อให้มันรันโดยไม่ต้องอาศัยความจำของคุณ และเตรียมพรอมป์แบบผู้โจมตีไว้ให้พร้อมสำหรับสิ่งใดก็ตามที่แตะ auth ข้อมูล หรือการอัปโหลด ยึดเส้นเดียวไว้ให้มั่น: การเปลี่ยนแปลงที่จัดการข้อมูลผู้ใช้หรือสิทธิ์จะไม่ถูกปล่อยออกไป จนกว่าจะมีใครสักคน — คุณเอง พร้อมความช่วยเหลืออย่างซื่อสัตย์จาก AI — ได้ลองโจมตีมันอย่างจริงจัง ความเร็วใน vibe coding มาจากประตูตรวจสอบที่ดี ไม่ใช่จากการเชื่อว่าความเงียบหมายถึงทุกอย่างโอเค