Je developer is weg en niemand kent de database
De ene developer die alles bouwde, is vertrokken. De applicatie draait, maar niemand durft iets aan te raken. Wat weten we eigenlijk?
De git-geschiedenis vertelt het zonder AI: hoe oud de code is, hoeveel mensen eraan werkten en of het meeste werk van één persoon komt. De documentatiecatalogus laat per onderdeel zien wat er is om over te dragen: hoe je de applicatie start, het datamodel, hoe je een release terugdraait.
- Controle: kennis bij één persoon, uit de git-geschiedenis. Vaste tools, met een geplante en een schone testcase
- Controle: de documentatiecatalogus, per onderdeel aanwezig, dun of ontbrekend. Het model beoordeelt, elke bewering wordt nagekeken; nog niet gemeten op onze goudset
- Wat je ziet: wie wat wijzigde, en per document waar we het vonden. Geen oordeel over de vertrokken developer
Een API-key staat in de git-geschiedenis
Iemand committe een sleutel in een configuratiebestand, zag het, en haalde hem er in de volgende commit weer uit. Het bestand is schoon. De geschiedenis niet.
De vaste scan leest de geschiedenis van je standaardbranch, tot tweeduizend commits terug, ook wat allang weg is, en meldt bestand, regel en commit. De waarde tonen we niet en sturen we nooit naar een AI-model. Ons advies is altijd hetzelfde: behandel de sleutel als gelekt en vervang hem bij de aanbieder.
- Controle: geheimen in de git-geschiedenis en in de werkkopie. Gitleaks in een vaste versie, met een geplante en een schone testcase, en een test dat de waarde de scan niet verlaat
- Wat wij niet doen: de sleutel uitproberen, of hem bij je aanbieder vervangen
- Wat jij kunt: de sleutel vervangen. In je werkplek kun je een geheim nooit wegfilteren
Een kwetsbaar pakket zit drie niveaus diep
Je gebruikt een pakket dat een pakket gebruikt dat een pakket gebruikt, en dat laatste heeft sinds gisteren een bekende kwetsbaarheid. Niemand in je team heeft het ooit zelf geïnstalleerd.
Je lockfile legt precies vast welke versies live gaan, ook die van de onderdelen van onderdelen. De vaste scan legt elke versie naast de openbare lijsten van kwetsbaarheden en bekende kwaadaardige pakketten, en noemt onderdeel, versie en de lockfile waarin het staat. Zonder lockfile is dat een bevinding op zich.
- Controle: kwetsbare en kwaadaardige onderdelen uit lockfiles. Osv-scanner in een vaste versie, met een geplante en een schone testcase
- Controle: lockfile aanwezig. Vaste tools
- Eerlijk: een melding die uitkomt nadat je code voor het laatst veranderde, zien we bij de volgende controle. Een herhaling op ongewijzigde code staat op de planning
De documentatie zegt iets anders dan de code
De prijsregels op de wiki zijn van vorig jaar. De code kreeg sindsdien drie wijzigingen. Een nieuwe collega, of een AI-assistent, leest de wiki en bouwt op regels die niet meer gelden.
De inspectie leest document en code naast elkaar. Een document dat veel ouder is dan de code die het beschrijft, mag van onze regels niet actueel heten; de datum komt uit git. Wat het model daarover beweert, wordt nagekeken op bestand en regel voordat je het ziet.
- Controle: documentatie actueel, dun of ontbrekend, per onderdeel van de catalogus. Een document ouder dan zijn code wordt als verouderd voorgesteld
- Controle: commando's en instellingen in de documentatie die niet meer bestaan. Vaste tools, zonder AI
- Precies deze situatie staat in de voorbeeldcontrole, met bestand en regel
AI schreef de code. Wie controleerde de tests?
Een assistent leverde in een middag een nieuwe module met tests erbij. De pipeline is groen. Maar testten die tests iets, draaiden ze op de commit die live ging, en kwam er geen sleutel of onveilig patroon mee?
We lezen het bewijs uit je eigen CI: welk rapport hoort bij deze commit, slaagde het, en hoeveel tests draaiden er. Een groene pijplijn zonder tests telt niet als bewijs. De vaste scans lezen de nieuwe code op geheimen en riskante patronen, en onze controle op AI-risico's zoekt naar instructies in je repository die een assistent op het verkeerde been zetten.
- Controle: testbewijs uit je CI, gekoppeld aan de commit, met de vier staten. Getest op opgenomen antwoorden van de CI-systemen
- Controle: riskante code en geheimen in de nieuwe code. Vaste scans, met een geplante en een schone testcase
- Controle: verborgen instructies aan een assistent. Vaste tools, met een geplante en een schone testcase