Audit automatizzato di implementazioni JWT e OAuth con LLM: il catalogo delle vulnerabilità ricorrenti
JWT e OAuth sono standard semplici nella teoria, catastrofici nell'implementazione. Nella mia pipeline personale di audit ho costruito un classificatore LLM che analizza l'autenticazione di un progetto PHP e segnala vulnerabilità ricorrenti: algorithm confusion, refresh token deboli, storage insicuro, revocation mancante. Ti mostro il prompt engineering e il catalogo dei pattern pericolosi raccolti nella mia sandbox di audit sistematico. Continua a leggere
Ultima modifica:
Il codice generato da AI sembra pulito ma nasconde classi di vulnerabilità ricorrenti che il contesto non riesce a catturare: SQL injection con parametri concatenati, XSS in output non sanitizzati, API key committate, pattern anti-OWASP. Nella mia sandbox di audit su codice AI-generated ho analizzato 40 output di ChatGPT, Copilot e Claude: ecco il catalogo dei pattern pericolosi e la checklist che applico sistematicamente prima di mergiare qualsiasi codice AI-generated. 
Ho analizzato 200 snippet PHP generati da Copilot e ChatGPT nel contesto di progetti clienti: il 23% conteneva vulnerabilità, di cui il 8% classificabili come high severity. I pattern sono prevedibili: prepared statements dimenticati, input validation assente, errori gestiti con die(). Ecco come fare audit sistematico.