Пост🤔 Вчера обсуждали с нашими хорошими друзьям и коллегами из Яндекса тему использования AI-кодеров и связанных с этим secu…

🤔 Вчера обсуждали с нашими хорошими друзьям и коллегами из Яндекса тему использования AI-кодеров и связанных с этим security-рисков (отсылка к их открытому рассказу на YouTube). Позиция у коллег довольно прагматичная: - Сам код без секретов коммерческой ценности почти не несет. Сегодня одна реализация, завтра другая. - Чувствительность модулей зависит от домена. В банке понятно, что есть особо критичные части. В обычном e-commerce секретов немного: корзина, витрина, каталог. - Всё заранее согласовано с безопасностью, получено официальное добро. - Контекст кодера должен быть ограничен. Не всё и не из всей монорепы нужно отдавать в облачный embedding. Подход абсолютно рабочий, но не универсальный. У проектов с другой спецификой бизнеса может быть куда более низкая толерантность к риску. И важно помнить несколько принципов опеки над своим кодом: - ограничивайте контекст AI-кодера - используйте .cursorignore/.claudeignore - держите только проверенные MCP и фильтруйте запросы от потенциальных prompt injection (мы писали про это тут). Почему вообще об этом стоит задумываться? Пример этого года хорошо иллюстрирует, что инструменты разработчика могут быть использованы и атакующими. В одном из кейсов злоумышленники применили Claude для автоматизации поиска уязвимостей и шантажа компаний. История светилась в NBC и других источниках и выглядит довольно серьезно. AI-кодеры дают огромный прирост скорости, но требуют осознанного контурa безопасности. Важно понимать, что безопасно в вашем домене, а что нет, и какое количество контекста вы готовы доверить облаку. #L #AI #Security 👏