Studio de dezvoltare cu livrare săptămânală
Echipele care publică des nu pot opri ritmul pentru recenzii lungi. Verificările automate în conductă prind problemele obișnuite, iar recenzia umană rămâne pentru logica de business.
Securitatea codului generat de AI în Moldova
Servicii CyberSecurity · Moldova
SAST, secrete și dependențe verificate în CI
Codul scris cu asistenți AI ajunge în producție mai repede decât trecea prin recenzie acum câțiva ani. Verificăm ce iese din acest flux: analiză statică și dinamică, secrete scăpate în depozitul de cod, dependențe cu vulnerabilități, imagini semnate și configurări de infrastructură. Pentru echipele din Moldova care livrează software clienților europeni, dovada acestor verificări intră direct în dosarul contractual.
- SBOM pe fiecare livrare, cerut tot mai des
- Imagini semnate, fără publicare nesemnată
- cPanel 1 h de la Advanced, VPS 1–8 h, dedicate 5–10 h (în funcție de plan), GPU 10 hOre incluse
- UE: FrankfurtDatacentere
- EUR cu TVA 20 % defalcat și factură SFSFacturare
- bilingv română și rusăSuport
Ce verificăm în cod și în lanțul de livrare
Punem cinci verificări în conducta de livrare și le legăm de rezultatul construcției. Semgrep caută tipare nesigure în cod, gitleaks caută chei și parole în istoric, Syft produce lista componentelor, Grype o compară cu bazele de vulnerabilități, iar checkov verifică fișierele de infrastructură. Imaginile se semnează cu cosign, deci ce ajunge în registru se poate verifica. Nimic din asta nu cere o echipă mare; cere doar ca verificările să fie obligatorii, nu opționale.
- SAST pe fiecare pull request, cu triaj al alertelor
- Scanare de secrete în cod și în istoricul git
- SBOM plus scanare de dependențe la fiecare build
- Imagini semnate și scanate înainte de publicare
Cod scris cu AI, atacatori cu aceleași unelte
Asistenții de cod repetă tiparele pe care le-au învățat, inclusiv pe cele nesigure: interogări construite prin concatenare, validare lipsă, chei scrise direct în sursă, dependențe alese după nume plauzibil. Volumul crește, recenzia umană rămâne la fel. În paralel, atacatorii folosesc agenți ca să citească depozite publice, să caute secrete în istoric și să publice pachete cu nume apropiate de cele reale. Răspunsul practic e simetric: automatizăm verificarea la fiecare comit și folosim triaj asistat pentru alertele care contează.
Gate-uri în CI, nu rapoarte pe e-mail
Un raport de securitate care ajunge pe e-mail se citește o dată. O verificare care oprește livrarea se rezolvă. De aceea legăm regulile la conducta de integrare: constatările critice blochează publicarea, restul deschid o sarcină cu termen. Pragurile se aleg împreună, ca echipa să nu ocolească sistemul după prima săptămână. Adăugăm și verificări înainte de comit, ca o cheie să nu ajungă niciodată în istoric, de unde scoaterea e mult mai scumpă decât prevenția.
Ce cer clienții europeni de la un furnizor din Moldova
Companiile de outsourcing din Chișinău și Bălți livrează cod pentru piețe europene, iar întrebările din evaluarea de furnizor s-au uniformizat: aveți SBOM pentru livrare, cine semnează imaginile, cum verificați dependențele, ce faceți când apare o vulnerabilitate într-o bibliotecă folosită. Răspunsurile se pregătesc o dată și se generează automat după. Rezidenții Moldova IT Park câștigă aici un avantaj comercial concret: aceleași verificări, dar documentate, scurtează evaluarea cu săptămâni.
Orele de DevOps, CyberSecurity și Programare sunt incluse în abonament, lună de lună: 1 h de la planul cPanel Advanced în sus, 1–8 h pe VPS și 5–10 h pe serverele dedicate, în funcție de plan, și 10 h pe GPU. Le ceri din panoul de client și propui termenul; cota expiră la sfârșitul lunii calendaristice, iar lucrul de peste cotă se acceptă și se facturează separat, în euro, cu TVA 20 % și factură SFS. Cu abonamentele care includ minimum 2 ore lunare îți construim un site de prezentare, iar cu cele care includ minimum 5 ore, un magazin online — din orele deja plătite în abonament.
Cazuri de utilizare
Produs fintech cu cerințe de audit
Auditorul întreabă cine a semnat versiunea ajunsă în producție. Semnarea imaginilor și SBOM-ul păstrat pe fiecare livrare răspund fără arheologie prin jurnalele de build.
Modernizarea unei aplicații moștenite
Un sistem vechi, extins acum cu module scrise rapid cu asistență AI, are dependențe amestecate. Inventarul de componente arată ce se poate actualiza și ce trebuie izolat.
Cum lucrăm
Analiza conductei actuale
Ne uităm la depozitele și la conducta de livrare pe care le ai, ca să știm unde intră verificările fără să încetinim echipa de dezvoltare.
Pornire în modul de raportare
Rulăm SAST, scanarea de secrete și cea de dependențe fără să blocăm nimic, ca să vedem volumul real de constatări și să curățăm întâi istoricul.
Praguri și gate-uri
Stabilim ce oprește livrarea și ce doar deschide o sarcină, apoi activăm semnarea imaginilor și generarea automată a listei de componente.
Predare cu documentație
Primești configurația în depozit, regulile explicate și răspunsurile pregătite pentru evaluările de furnizor. Ajustările lunare intră în orele incluse.
Tehnologii
- Semgrep
- gitleaks
- Trivy
- Syft
- Grype
- cosign
- checkov
- Dependency-Track
Întrebări frecvente
Este sigur codul generat de asistenți AI?
Este exact atât de sigur cât tiparele pe care le-a învățat modelul, deci apar des aceleași greșeli: interogări concatenate, validare lipsă, chei în sursă, dependențe alese greșit. Nu e un motiv să renunți la asistență, e un motiv să verifici automat fiecare livrare.
Ce este vibe coding și ce riscuri aduce?
Termenul descrie scrierea de cod prin cereri succesive către un model, fără citirea atentă a rezultatului. Riscul nu e sintaxa, ci ce nu se vede: autorizare lipsă pe un endpoint, secrete în configurare, biblioteci nefolosite lăsate în proiect. Verificările în conducta de livrare acoperă exact acest gol.
Ce este un SBOM?
Lista componentelor unui produs software, cu versiuni și licențe, generată la fiecare construcție. Îți spune în câteva secunde dacă o bibliotecă vulnerabilă apare în ceva ce ai livrat. Devine cerință obișnuită în contractele cu clienți europeni, deci merită automatizată din prima zi.
SAST sau DAST: ce folosesc?
Amândouă, în momente diferite. SAST citește codul și prinde tipare nesigure înainte de livrare, deci e ieftin și rapid. DAST atacă aplicația pornită și vede ce se întâmplă în realitate, inclusiv probleme de configurare. Într-o conductă sănătoasă SAST rulează la fiecare comit, DAST pe mediul de test.
Cum verific dependențele proiectului?
Generăm lista de componente la fiecare construcție și o comparăm cu bazele publice de vulnerabilități. Constatările se ordonează pe probabilitate de exploatare și pe accesibilitate reală, nu pe numărul de alerte. Cele critice blochează publicarea, restul primesc termen și responsabil.
Cum evit ca o cheie de API să ajungă în depozit?
Cu verificare înainte de comit și cu scanarea istoricului. Prima oprește greșeala pe laptopul dezvoltatorului, a doua găsește ce a intrat deja. Cheile mutate în seif se rotesc, pentru că un secret ajuns în istoric trebuie considerat compromis, chiar dacă depozitul e privat.
Verifică automat ce livrezi
Cere o analiză a conductei de livrare din panoul de client. Pornim verificările în modul de raportare și stabilim pragurile împreună.