Sokkoló leleplezés: az ellenőrizetlen hozzáférés továbbra is minden alkalmazás gyenge pontja!

Az OWASP (Open Worldwide Application Security Project) közzétette legfrissebb, 2025-ös Top 10-es alkalmazásbiztonsági kockázati listáját, amelyen ismét a hozzáférés-vezérlés megsértése végzett az élen. Ezt rögtön a hibás biztonsági beállítások, majd a szoftverellátási lánc problémái követik, és idén először külön kategóriát kapott a prompt injection – a mesterségesintelligencia-alkalmazások egyik fő fenyegetése.

A legnagyobb veszélyforrás: ellenőrizetlen hozzáférés

A webalkalmazások, API-k és digitális rendszerek legsebezhetőbb pontja továbbra is az ellenőrizetlen hozzáférés: az OWASP adatai szerint a tesztelt alkalmazások 3,73 százalékát érinti. Ilyen hibák például, ha jogosultság nélkül elérhetők bizonyos oldalak URL-címek manipulálásával, ha olyan API-k működnek, amelyeknél hiányzik a hozzáférés-ellenőrzés, vagy amikor a rendszer nem érvényesíti a legkisebb jogosultság elvét. Az alapelv: alapértelmezetten tiltsunk mindent, kivéve a nyilvános erőforrásokat.

Hibás konfigurációk és ellátási lánc gondok

A második helyen a rossz biztonsági beállítások szerepelnek, amelyek különösen a felhőalapú és az infrastruktúra-biztonság szempontjából problémásak. Egyre több fejlesztő kizárólag konfigurációval igyekszik megoldani a biztonságot, ami új sebezhetőségekhez vezet. Az ellátási lánc hibái a harmadik helyen végeztek: bár ritkábbak, de ha előfordulnak, a legmagasabb kockázatú sebezhetőségeket okozzák.

Prompt injection és az új kihívások

Új fenyegetésként jelent meg a prompt injection is: a nagy nyelvi modellek (LLM) és mesterségesintelligencia-alkalmazások esetében a támadók úgy alakíthatják a beviteli promptokat, hogy a modell kikerülje a biztonsági ellenőrzéseket. Szintén új a kivételes állapotok helytelen kezelése, például amikor futás közbeni hibák érzékeny adatokat árulnak el, vagy fennakadáshoz vezetnek.

Csúfosan lassú fejlődés

Bár évről évre egyre több problémát azonosítanak a fejlesztői eszközök, a szakmabeliek szerint a helyzet az elmúlt húsz évben lényegében nem javult. A biztonság sok cégnél továbbra is csak utólagos szempont, miközben a menedzsment az új funkciók bevezetését erőlteti, mire már rég késő.

2025, adrienne, go.theregister.com alapján