Was muss eine KI wissen, um Code auf Sicherheit zu prüfen?
Eine Sicherheitsprüfung durch eine KI ist nur so gut wie ihr Auftrag: Sie muss wissen, was sie prüfen soll, womit das System gebaut ist, was nicht zur Prüfung gehört und wie ein brauchbarer Befund aussieht. Prüfe nur Systeme, die dir gehören oder für die du den Auftrag hast.
Von Kasum BajramiAktualisiert am
Was muss die KI von dir wissen?
Was ist das System, und womit ist es gebaut?
Sprache, Framework und Datenbank bestimmen, welche Schwachstellen überhaupt in Frage kommen.
Was gehört zur Prüfung, was nicht?
Anmeldung und Dateiupload ja, Hosting nein: Ohne Umfang prüft die KI ein bisschen von allem und nichts gründlich.
Nach welchem Massstab wird geprüft?
Eine bekannte Liste häufiger Schwachstellen, zum Beispiel die OWASP Top 10, gibt der Prüfung Struktur und macht sie vergleichbar.
Wie soll ein Befund aussehen?
Fundstelle, Schwere, Erklärung und Behebung. Ohne diese Vorgabe bekommst du Fliesstext, in dem man die Stelle selbst suchen muss.
Was darf die KI nicht tun?
Nichts ausführen, nichts erfinden, nichts gegen fremde Systeme vorschlagen. Eine Grenze im Prompt ist verlässlicher als die Hoffnung, dass sie sich von selbst versteht.
Wie sieht das als fertiger Prompt aus?
Beispiel
So könnte das Gespräch laufen. Das Beispiel ist von Hand nach den Regeln geschrieben, nach denen Finn fragt, und stammt nicht aus einem echten Gespräch.
- Die Idee
- Ich möchte meine selbst gebaute Webanwendung auf Sicherheitslücken prüfen lassen.
- Die Rückfrage
- Womit ist die Anwendung gebaut? Was gehört zur Prüfung, nur der Code, die Anmeldung, der Dateiupload? Wie soll ein Befund aussehen? Hast du einen Massstab, etwa eine bekannte Liste häufiger Schwachstellen?
- Die Antwort
- Node.js mit Express und PostgreSQL. Geprüft werden Anmeldung, Sitzungen und Dateiupload. Befunde mit Schwere und Behebung, Massstab OWASP Top 10.
Der fertige Prompt
Du bist ein erfahrener Prüfer für Anwendungssicherheit. Prüfe den Quellcode meiner eigenen Webanwendung auf Sicherheitslücken.
System: Node.js mit Express und PostgreSQL. Den Code füge ich unten ein: [Code oder Dateiauszüge].
Umfang: Anmeldung, Sitzungsverwaltung und Dateiupload. Nicht Teil der Prüfung: Hosting, Netzwerk und Abhängigkeiten.
Massstab: die OWASP Top 10. Nenne nur Befunde, die du im eingefügten Code belegen kannst, und gib die Fundstelle an.
Ergebnis: eine Liste, nach Schwere geordnet (hoch, mittel, niedrig). Je Befund: Fundstelle, was falsch ist, wie es ausgenutzt werden könnte (ein Satz) und wie ich es behebe.
Grenzen: Führe nichts aus. Erfinde keine Schwachstellen; wenn der Code zu einem Punkt nichts hergibt, schreibe "nicht prüfbar mit diesem Code".Wann brauchst du das nicht?
Eine KI-Prüfung ersetzt weder einen Test durch Fachleute noch ein Audit, das jemand von dir verlangt. Sie ist eine zweite Meinung zu Code, den du selbst eingefügt hast.
Für eine einzelne Frage zu einer Funktion, etwa ob eine Datenbankabfrage Eingaben ungeprüft übernimmt, reicht die Frage samt Code direkt in der KI.