Vad en säkerhetsskanner hittar, och vad den missar

Det finns i dag gott om säkerhetsverktyg som lovar att hitta “alla” hål i en app med ett enda kommando. Många av dem är gratis och fungerar bra. Har du låtit en AI bygga en app eller ett internt verktyg är det klokt att köra ett.

Men ordet “alla” stämmer inte, och det är bra att veta varför. Annars kan ett grönt resultat ge en trygghet som inte finns.

Det en skanner är bra på

En automatisk skanner letar efter mönster. Den är bra på saker som ser likadana ut i alla appar:

• Nycklar och lösenord i koden. En API-nyckel har en känd form och går att känna igen.
• Komponenter med kända sårbarheter. Nästan varje app bygger på färdiga bibliotek. När ett av dem får en känd säkerhetsbrist finns den i offentliga listor, och skannern jämför.
• Vanliga felinställningar. Till exempel en server som skickar ut felmeddelanden med för mycket detaljer.

Vi kör själva sådana kontroller automatiskt när våra produkter byggs. Två detaljer har visat sig viktiga.

Sök i hela historiken, inte bara i dagens kod. En nyckel som någon tagit bort i går finns kvar i versionshistoriken. Den som kommer åt historiken kommer åt nyckeln. Därför söker vi efter hemligheter i hela historiken, och en nyckel som legat där behandlas som läckt och byts.

Skanna det som faktiskt körs, inte bara källkoden. Den färdiga appen innehåller ofta mer än det du själv skrivit, till exempel ett operativsystem och verktyg som följer med. Vi skannar därför även det färdiga paketet som körs i drift.

Det en skanner missar

De allvarligaste felen i en app ser ofta helt normala ut för en skanner, eftersom de inte är ett mönster utan ett beslut som saknas.

Det vanligaste exemplet är behörighet. Kan kund A se kund B:s fakturor genom att ändra ett nummer i adressen? Koden som hämtar fakturan ser korrekt ut. Det som saknas är en rad som kontrollerar att fakturan tillhör den som frågar. En skanner vet inte vem som ska få se vad i din verksamhet, så den kan inte se att raden fattas.

Samma sak gäller affärslogik. Går det att använda en rabattkod tio gånger? Går det att boka en tid som redan är tagen? Det är frågor om hur din verksamhet ska fungera, inte om hur kod brukar se ut.

Därför räcker inte skannern hos oss. Före varje release går ändringen igenom en granskning mot en skriven lista med säkerhetsregler, och resultatet sparas i ett dokument för just den versionen. Står det ett öppet allvarligt fynd i dokumentet går versionen inte ut. Granskningen görs av en annan AI-modell än den som skrev koden, och en människa provar ändringarna i en testmiljö innan något når kunderna.

Har du ännu inte bestämt vem som får se vad i din app är det där du ska börja. Vi har skrivit om det i Skriv säkerhetskraven innan AI:n bygger din app.

Verktyget är också kod

Ett säkerhetsverktyg som installeras med ett kommando från internet hämtar och kör någon annans kod på din dator. En AI-skill är dessutom instruktioner som din AI-assistent följer, med de rättigheter assistenten har. Det gäller oavsett hur bra verktyget är.

Det betyder inte att du ska avstå. Det betyder att du ska göra som med allt annat du släpper in:

• Läs innan du installerar. En skill är oftast några textfiler. Titta efter vad den kör och vart den skickar data.
• Lås versionen. Installera en bestämd version, inte “senaste”. Då ändras verktyget inte under fötterna på dig.
• Granska uppdateringar. När du vill uppdatera, titta på vad som ändrats sedan förra versionen.

Så gör vi med verktyg från andra: de ligger låsta på en bestämd version, och vi går igenom ändringarna innan vi uppdaterar. Varför AI-agenter ska ha så lite behörighet som möjligt har vi skrivit om i Ge inte AI-agenten dina egna nycklar.

Kör skannern, men läs svaret rätt

• Grönt betyder “inga kända mönster hittades”, inte “appen är säker”.
• Rött är ett bra fynd, inte ett misslyckande. Åtgärda, och kör igen.
• Behörighet och affärslogik behöver en människa eller en granskning som vet hur verksamheten ska fungera.
• Verktyget självt ska vara läst, låst och granskat vid uppdatering.

Har ni en app som byggts med AI och vill veta var den står kan vi gå igenom den tillsammans. Vi bygger själva egna applikationer åt andra, och ett kostnadsfritt samtal på 30 minuter räcker för att se var ni ska börja.