Threat model và khắc phục code với ak:security

Dùng ak:security để quét secret, dependency và code pattern, kèm STRIDE và OWASP. Cách gọi mặc định chạy lượt comprehensive đó. --secrets-only và --deps-only bỏ code pattern và threat modeling; dùng cả hai vẫn bỏ code pattern. Mode red-team và fix tùy chọn bổ sung discovery sâu hơn cùng thay đổi code local.

Chọn ak:security cho review theo threat model

Dùng ak:security khi

• Authentication, authorization, payment, dữ liệu cá nhân hoặc ranh giới hệ thống nhạy cảm đã thay đổi.
• Bạn muốn finding gắn với kịch bản tấn công và vị trí source.
• Bạn cần góc nhìn external, supply-chain, insider và infrastructure.
• Bạn đang chuẩn bị release hoặc compliance review tập trung.

Chọn workflow khác khi

• Bạn chỉ cần lượt nhanh secret hoặc dependency. Ở lại ak:security và truyền --secrets-only, --deps-only, hoặc cả hai.
• Thay đổi chỉ có tính thẩm mỹ và không ảnh hưởng dữ liệu hay hành vi người dùng.
• Bạn cần penetration test thực trên service đang chạy; Skill này audit dựa trên source và không tuyên bố thực thi exploit.
• Bạn đã có defect được xác nhận và chỉ cần implementation. Dùng ak:fix với bằng chứng cùng ranh giới acceptance.

Chuẩn bị audit surface có giới hạn

Trước khi bắt đầu:

• Hoàn thành Làm quen và xác nhận Engineer Kit đã được cài cho runtime cùng scope hiện tại.
• Cung cấp file glob, thư mục hoặc đúng keyword full.
• Đảm bảo source, manifest, lockfile, cấu hình CI, tệp deployment và instruction repository liên quan đều có thể đọc.
• Cài audit tool của stack nếu bạn cần bằng chứng dependency: npm audit, pip-audit, govulncheck hoặc bundle audit cho các stack đã được mô tả.
• Quyết định trước liệu advisory lookup qua network và fix commit local có được phép hay không.

Chọn riêng độ sâu và quyền thay đổi

/ak:security --secrets-only
/ak:security --deps-only
/ak:security src/auth/ --red-team --iterations 12

/ak:security --secrets-only
/ak:security --deps-only
/ak:security src/auth/ --red-team --iterations 12

$ak:security --secrets-only
$ak:security --deps-only
$ak:security src/auth/ --red-team --iterations 12

Bắt đầu không có --fix khi bạn cần hiệu chỉnh finding hoặc xin duyệt cho cách khắc phục rủi ro. Input thực tế cũng nên nêu command test đáng tin cậy, tệp không được thay đổi và commit local có được phép hay không.

Hiểu các giai đoạn có thể quan sát

1. Skill phân giải scope. Skill mở rộng glob, thư mục hoặc full và đọc mọi tệp đã chọn trước khi phân tích.
2. Skill lập bản đồ threat. STRIDE bao phủ spoofing, tampering, repudiation, information disclosure, denial of service và elevation of privilege.
3. Skill kiểm tra category OWASP. Access control, cryptography, injection, design, configuration, component, authentication, integrity, logging và SSRF đều có lượt kiểm tra rõ ràng.
4. Skill audit dependency và secret. Stack đã phát hiện chọn package auditor, còn source được kiểm tra theo credential pattern.
5. Red-team mode lặp qua persona. Các phase external adversary, supply-chain, insider và infrastructure chọn vector, lần theo flow, xác minh bằng chứng và nối finding có liên quan.
6. Skill hợp nhất bằng chứng. Finding được deduplicate, gán severity Critical, High, Medium, Low hoặc Info và ghi vào report.
7. Fix mode khắc phục theo iteration. Mỗi thay đổi tập trung chạy test hoặc lint guard và chỉ tạo commit security(fix-N): ... sau khi guard pass.

Thử nghiệm finding triage tùy chọn

Review thông thường không đổi và không gọi provider nào. Chỉ khi bạn chủ động opt in vào một thử nghiệm finding triage sau bước tìm candidate, Skill mới dùng ak eval triage, với mode mặc định là off. Mode shadow cần consent provider của bạn, consent tường minh cho consumer review-triage và một credential. Skill chỉ gửi dữ kiện ngắn gọn đã được làm sạch: nó loại bỏ mọi giá trị secret đã phát hiện khỏi batch và không bao giờ gửi output scanner thô, toàn bộ source, credential hay path nhạy cảm.

Tín hiệu shadow được so sánh với quyết định ban đầu và không bao giờ thay thế chúng. Tín hiệu Critical hoặc High được bảo vệ, trường hợp chưa rõ và lỗi provider vẫn giữ deep review, và tín hiệu duplicate hay auto-fix không bao giờ cho phép ẩn một finding hoặc sửa code. Để đo thử nghiệm offline, hãy dùng ak eval triage-benchmark với shadow receipt đã đóng băng và nhãn được xác minh độc lập.

Bảo vệ credential và trạng thái repository

• Dependency audit command có thể liên hệ advisory registry và cập nhật cache local. Khả dụng, data transfer, rate limit và provider cost là thuộc tính của tool cùng environment đã chọn.
• Kiểm tra tĩnh không cấp quyền gửi request tới production, dùng credential, thực thi exploit, exfiltrate dữ liệu hay destructive testing.
• --fix cấp quyền edit local và một commit cho mỗi fix iteration thành công. Nó không cấp quyền push, tạo pull request, merge, release hay deploy.
• Guard thất bại sẽ dừng fix loop và vẫn được hiển thị; Skill không bỏ hoặc làm yếu verification để tiếp tục.
• Review thay đổi sinh ra trước khi chấp nhận hardening rộng. Một số finding cần quyết định product, compliance hoặc compatibility mà automation không thể tự đưa ra.

Xác minh report và fix

Audit hoàn chỉnh nên cung cấp:

• Số tệp đã quét và số finding theo severity.
• Category, vị trí source, mô tả, attack scenario, impact, confidence và đề xuất fix có giới hạn cho từng finding.
• Red-team persona cùng bằng chứng iteration khi mode đó chạy.
• Dependency-audit command và kết quả, hoặc lý do không khả dụng rõ ràng.
• Bằng chứng secret dạng marker mờ, không phải secret sống bị cắt một phần.
• Với fix mode, tệp thay đổi, guard command cùng kết quả, commit đã tạo, iteration bị dừng và finding chưa xử lý.

Bằng chứng package xác nhận coverage cài đặt cho Skill; nó không phải test end-to-end của toàn bộ audit, advisory service live hay chất lượng fix.

Khắc phục và hiểu giới hạn

Invocation đã retired ak:security-scan map sang ak:security. Tiếp tục với ak:plan để lên lịch finding chưa nên sửa ngay.