A legnagyobb veszélyforrás: ellenőrizetlen hozzáférés
A webalkalmazások, API-k és digitális rendszerek legsebezhetőbb pontja továbbra is az ellenőrizetlen hozzáférés: az OWASP adatai szerint a tesztelt alkalmazások 3,73 százalékát érinti. Ilyen hibák például, ha jogosultság nélkül elérhetők bizonyos oldalak URL-címek manipulálásával, ha olyan API-k működnek, amelyeknél hiányzik a hozzáférés-ellenőrzés, vagy amikor a rendszer nem érvényesíti a legkisebb jogosultság elvét. Az alapelv: alapértelmezetten tiltsunk mindent, kivéve a nyilvános erőforrásokat.
Hibás konfigurációk és ellátási lánc gondok
A második helyen a rossz biztonsági beállítások szerepelnek, amelyek különösen a felhőalapú és az infrastruktúra-biztonság szempontjából problémásak. Egyre több fejlesztő kizárólag konfigurációval igyekszik megoldani a biztonságot, ami új sebezhetőségekhez vezet. Az ellátási lánc hibái a harmadik helyen végeztek: bár ritkábbak, de ha előfordulnak, a legmagasabb kockázatú sebezhetőségeket okozzák.
Prompt injection és az új kihívások
Új fenyegetésként jelent meg a prompt injection is: a nagy nyelvi modellek (LLM) és mesterségesintelligencia-alkalmazások esetében a támadók úgy alakíthatják a beviteli promptokat, hogy a modell kikerülje a biztonsági ellenőrzéseket. Szintén új a kivételes állapotok helytelen kezelése, például amikor futás közbeni hibák érzékeny adatokat árulnak el, vagy fennakadáshoz vezetnek.
Csúfosan lassú fejlődés
Bár évről évre egyre több problémát azonosítanak a fejlesztői eszközök, a szakmabeliek szerint a helyzet az elmúlt húsz évben lényegében nem javult. A biztonság sok cégnél továbbra is csak utólagos szempont, miközben a menedzsment az új funkciók bevezetését erőlteti, mire már rég késő.
