Автономний агент
Він запускає інструменти та показує реальні результати в чат-картках.
Продукт
Агент тестування OWASP API Top 10
01
Orso Connect допомагає вам пройтися по списку OWASP API Security Top 10 як стартовому чек-листу. Він запускає інструменти, читає файли та пише звіти для вашого робочого процесу тестування API.
Локальна приватність
Чати та ключі залишаються на вашому ПК без телеметрії.
Ask first
Він робить паузу перед зміною файлів або запуском команд.
Функціональність
- Файлиread_file, write_file, edit_file, grep та list_dir керують файлами вашого проєкту всередині теки чату.
- Shellзапускає команди терміналу, такі як лінтери та тести, повідомляючи реальний код виходу для підтвердження успіху.
- Вебвикористовує web_search та http_get для читання сторінок офіційної документації з інтернету.
- Знімки екрана та зображенняgen_image зберігає реальні файли, а ocr зчитує текст із знімків екрана.
- Оркестраціяtask запускає паралельні підагенти, а skill зберігає повторно використовувані сценарії для типових завдань.
- Режими затвердженняAuto-run діє миттєво, Ask first робить паузу перед змінами, Plan only пише плани.
- Cronзапускає промпти за розкладом, щоб ваші перевірки безпеки виконувалися регулярно.
- Моделіпідтримує хмарні API, локальні моделі або вбудовану модель для миттєвого використання.
Запустити тест
Опишіть перевірку, і агент запустить інструменти для її підтвердження.
Перевірити, чи може користувач B читати замовлення користувача A.
- read_file
openapi.yamlзавантажено - Shell
http_get https://staging/api/orders/1200 OK - Shell
http_get /orders/2 as user B403 Forbidden - grep
Authorization3 знахідки - edit_file
fix.pyзбережено
чекає на вашу згоду перед наступним крокомВідхилитиПрийняти
Інструкції
Перевірка ризиків OWASP
Агент читає файл OpenAPI, щоб перелічити ендпоінти, і використовує grep для пошуку обробників маршрутів у вашому коді, щоб знати, де шукати. Він перевіряє доступ. Він використовує http_get для надсилання запитів на ваш URL-адресу середовища розробки. Він перевіряє, чи правильно термінуються токени входу, і перевіряє порушення авторизації на рівні об'єктів, замінюючи ідентифікатори користувачів. Витік API-ключів у вихідному коді сторінки є поширеним ризиком, який агент допомагає виявити під час огляду. Він читає журнали помилок на предмет витоку деталей і пише звіт із рівнями серйозності для кожної знахідки. Ви переглядаєте план у режимі Plan only перед прийняттям будь-яких змін у робочій теці. Цей процес відповідає рекомендаціям OWASP API Security Top 10 щодо захисту вашого API.
Пошук ключів
Агент використовує grep для пошуку шаблонів ключів у ваших вихідних файлах, а edit_file пропонує перемістити їх у конфігурацію з відображенням змін у режимі Ask first. Ви переглядаєте зміни. Він працює локально на вашому ПК Windows. OWASP API Security Top 10 керує цими перевірками. Жорстко закодовані API-ключі, що постачаються з додатками, часто призводять до витоку секретів. Відсутність обмеження швидкості для входу та OTP викликає проблеми. Агент фіксує всі знахідки для ваших записів. Він тримає секрети подалі від спільних нотаток і звітів.
Чого не робить Orso Connect
Це не хостований сервіс або плагін. Він призначений лише для ваших власних файлів, ПК та серверів, яким ви маєте дозвіл на використання. Ви тримаєте роботу всередині них. Агент не контролює діапазон дій. Shell, веб та SSH не прив'язані до теки. Немає гарантії, що код, сканування або аналіз є правильними.
