Cách đây không lâu, đội chúng tôi tiến hành rà soát hệ thống của một khách hàng theo yêu cầu trước khi khách phát hành loạt tính năng mới. Xét theo mọi thước đo quen thuộc thì đây là một dự án thành công: ứng dụng đã vượt qua kiểm thử chức năng, hiệu năng đạt ngưỡng thiết kế. Điểm khiến chúng tôi lưu ý là lịch ra mắt đã được đẩy lên sớm gần một nửa thời gian nhờ Phòng phát triển sản phẩm của khách hàng dùng AI viết phần lớn code trong đợt tăng tốc. Phản xạ của đội chúng tôi gần như ngay lập tức: “những gì đã bị bỏ qua?”
Kết quả quét bảo mật trả về danh sách phát hiện dài bất thường so với một ứng dụng cùng quy mô: chuỗi kết nối cơ sở dữ liệu được ghi thẳng trong mã nguồn thay vì đưa vào hệ thống quản lý secret; nhiều điểm nhận dữ liệu đầu vào không qua kiểm tra, mở đường cho các lỗi nhóm injection; một thư viện phiên bản cũ mang lỗ hổng đã công bố từ nhiều tháng trước. Các lỗi này đều quen thuộc, chỉ khác ở mật độ lỗi vượt hẳn mức chúng tôi thường gặp ở code do người viết, có review chéo.
