大模型安全工程师私藏3大避坑心法

　　去年十月那版安全策略，我原以为排期能卡住测试进度，结果开发半夜三点发消息说‘漏了三个攻击面’——那会儿我正盯着天花板数空调滴水，一滴、两滴、三滴，跟他们漏的漏洞数对上了。后来复盘才发现，安全这行最坑的不是技术债，是需求评审时那帮人拍着胸脯说‘绝对没问题’的样子，跟用户反馈里骂‘这功能狗都不用’的语气一模一样。

　　第一个心法：别信PRD里的‘安全已覆盖’。去年做内容过滤，需求文档里写着‘已接入所有敏感词库’，结果上线第一天就被灌了五千条变体脏话——开发把词库存在本地，没做动态更新接口。我原以为测试会卡这个点，结果测试说‘需求没写要测变体’；更绝的是产品经理，指着PRD里‘覆盖主流敏感词’那行字说‘用户不会这么钻牛角尖’。后来灰度期被骂上热搜，老板拍桌子问‘为什么没测极端情况’，我指着需求文档说‘这里写着主流’，他沉默了三秒，说‘下次把‘主流’改成‘所有’’——可改完又怎样？开发还是说‘排期不够，先上基础版’。

　　那天评审会开到七点，白板笔早没水了，我用红色记号笔在玻璃上画攻击路径，画到一半发现投影仪对焦不准，开发小哥蹲在椅子上调了十分钟，调完说‘要不直接看文档吧’。文档里写着‘需防御SQL注入’，但没写‘要防二阶注入’；写着‘需校验用户权限’，但没写‘要校验权限变更时的缓存同步’。我指着文档问产品：‘这些细节谁写？’他说‘你们安全团队补啊，你们专业’。可安全团队就俩人，一个在修上版本的漏洞，一个在跟测试吵架——测试说‘你们写的用例太复杂，跑不完’，我说‘跑不完就别上线’，测试说‘那排期要延后’，产品说‘延后影响KPI，你们担责？’最后老板拍板‘先上线，漏洞后续补’，结果‘后续’就是现在，我还在补去年十月的债。

　　第二个心法：别把安全当优先级最高的需求。去年做风控系统，需求里写着‘实时拦截恶意请求’，开发说‘实时要加队列，排期加两周’，产品说‘两周太久了，用户等不及’，最后折中成‘准实时’——每五分钟同步一次规则。我原以为这已经够坑了，结果上线后发现，攻击者每四分钟发一次恶意请求，刚好卡在同步间隙里。更搞笑的是，用户反馈说‘风控总误杀’，查日志发现是规则太严，把正常请求当攻击了——开发说‘规则是你们安全定的’，我说‘定规则时你们没说性能限制’，产品说‘性能是技术问题，安全是底线问题，你们自己协调’。协调到⭐️⭐️⭐️⭐️规则松了，误杀少了，但攻击成功率上去了。老板问‘为什么安全指标没达标’，我说‘因为要兼顾用户体验’，他说‘用户体验是产品的事，你们只管安全’——可安全和体验，从来就不是能分开的两件事啊。

文章配图，仅供参考

　　第三个心法：别指望‘后续优化’能解决问题。去年做数据脱敏，需求里写着‘需对用户手机号、身份证号脱敏’，开发说‘脱敏规则是固定的吗？’产品说‘先固定，后续再优化’，结果上线后发现，不同业务场景需要不同的脱敏方式——比如金融业务要保留前三位后四位，物流业务要保留前六位后两位。我说‘这得改规则引擎’，开发说‘改引擎要重构代码，排期加一个月’，产品说‘一个月太久了，用户等不及’，最后折中成‘在前端做脱敏’——结果攻击者直接绕过前端，从接口拿原始数据。我原以为测试会卡这个点，结果测试说‘需求没写要测接口’，产品说‘接口是技术细节，用户不关心’。后来被监管罚款，老板问‘为什么没做全链路脱敏’，我说‘因为需求里没写’，他说‘需求是死的，人是活的，你们不会自己加？’我说‘加了排期就延后’，他说‘延后影响营收，你们担责？’最后又是‘先上线，漏洞后续补’——可‘后续’永远有更急的需求，安全永远在排期的最后。

　　现在回头看，这三个心法其实就一句话：优胜劣汰。需求文档里没写的，开发不会做；测试不会测；产品不会管；老板不会问。安全不是靠‘专业’就能推进的，是靠‘影响’——影响用户体验了，影响营收了，影响KPI了，才会被重视。可等被重视时，漏洞已经上线了，用户已经骂了，罚款已经交了。所以我现在评审会只问三句话：‘这功能安全吗？’‘不安全会怎样？’‘谁为不安全担责？’如果答案都是‘没问题’‘不会怎样’‘没人担责’，那我就知道，这功能上线后，肯定又是我来补坑。

　　上周五那版需求，我又问了这三句话。产品说‘安全肯定没问题’，开发说‘排期紧但能搞定’，测试说‘用例覆盖了主要场景’。我笑了笑，没说话——等上线后，他们就会知道，那摞打印的需求单里，又多了几个‘待修复’的漏洞。而我的文档里，又多了三个‘后续优化’的TODO——可‘后续’是什么时候？大概等空调不滴水、白板笔有水、外卖不洒汤的那天吧。

（编辑：草根网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!