OWASP API Top 10 テストエージェント

機能

• ファイルread_file、write_file、edit_file、grep、list_dirは、チャットフォルダ内のプロジェクトファイルを管理します。
• Shellリンターやテストなどのターミナルコマンドを実行し、成功を示す実際の終了コードを報告します。
• Webweb_searchとhttp_getを使用して、インターネット上の公式ドキュメントページを読み取ります。
• スクリーンショットと画像gen_imageは実際のファイルを保存し、ocrはスクリーンショットからテキストを読み取ります。
• オーケストレーションtaskは並列サブエージェントを実行し、skillは一般的なタスクの再利用可能なプレイブックを保存します。
• 承認モードAuto-runは即座に実行し、Ask firstは変更前に一時停止し、Plan onlyは計画のみを記載します。
• Cronスケジュールに従ってプロンプトを実行し、セキュリティチェックを定期的に維持します。
• モデルクラウドAPI、ローカルモデル、または即時使用のための内蔵モデルをサポートします。

ウォークスルー

OWASPリスクの確認

エージェントはOpenAPIファイルを読み取り、エンドポイントの一覧を作成します。grepを使用してコード内のルートハンドラを検索し、どこを確認すべきかを確認します。アクセスを確認し、http_getを使用してステージングURLにリクエストを送信します。ログイントークンの有効期限が切れることを確認し、ユーザーIDの入れ替えによりオブジェクトレベルの認可の欠陥をチェックします。ページソースでのAPIキーの露出は一般的なリスクであり、エージェントはレビュー中にこれを特定するのに役立ちます。エラーログを読み取って漏洩した詳細を確認し、各発見の重大度レベルを含むレポートを生成します。作業フォルダへの変更を受け入れる前に、Plan onlyモードで計画を確認します。このプロセスは、アプリケーションプログラミングインターフェースを保護するためのOWASP API Top 10ガイドラインに準拠しています。

キーのスキャン

エージェントはgrepを使用して、ソースファイル内の候補となるキーパターンを検出し、edit_fileはAsk firstモードで差分を表示しながらそれらを構成ファイルに移動することを提案します。変更を確認します。これはWindows PC上でローカルで動作します。OWASP APIセキュリティTop 10がこれらのチェックをガイドします。アプリにハードコードされたAPIキーはしばしば機密情報を漏洩します。ログインやOTPにレートリミットがないと問題が発生します。エージェントは記録のためにすべての発見をログに記録します。シークレットを共有ノートやレポートから安全に保ちます。