Conoce las tres trampas que la IA olvida cerrar
Cuando pides «pon un buscador» o «muestra los comentarios», la IA escribe lo que funciona, no necesariamente lo que es seguro. Tres ataques son los que se cuelan una y otra vez. No necesitas explotarlos: necesitas reconocerlos y exigir su defensa. Los verás como dibujos, no como código de hacker.
Inyección SQL: el dato que se vuelve orden
En un buscador mal hecho, lo que escribe el usuario se pega directamente a la consulta. Un listo puede escribir texto que la base de datos lee como instrucción, no como dato: y se lleva todo.
El mismo texto: dato vs orden
BUSCO: un nombre en el buscador de clientes\n\nSi el codigo PEGA tu texto a la consulta:\n SELECT * FROM clientes WHERE nombre = '[lo que escribi]'\n\nEscribo: x' OR '1'='1\nY la consulta se convierte en:\n ... WHERE nombre = 'x' OR '1'='1' -> devuelve TODOS los clientes\n\nDEFENSA: consultas parametrizadas (el dato nunca se mezcla con la orden).XSS: script ajeno en tu página
Si guardas y muestras comentarios sin limpiarlos, alguien puede «comentar» un pedazo de JavaScript. Tu navegador lo ejecutará creyendo que es tuyo, y puede robar sesiones.
CSRF: el navegador traicionado
Una página maliciosa hace que tu navegador, ya conectado a tu banco, dispare una acción sin que tú la pidas (un «transferir dinero»). La defensa es un token anti-CSRF que solo tu formulario real conoce.
Para reforzar la defensa SQL
Prueba
La defensa estándar contra la inyección SQL es:
Mostrar los comentarios del usuario tal cual fueron escritos es inocuo.
Detecta el código inseguro
Lees la explicación de una IA sobre cómo hizo tres funciones. Señala la que introduce una vulnerabilidad:
Marca la línea o las líneas con error y pulsa Comprobar.
Revisa tu proyecto: ¿dónde metes texto del usuario en una consulta, dónde muestras texto ajeno y dónde hay acciones sensibles? Para cada uno, escribe la defensa que le exigirás a la IA.
La seguridad no es un módulo aparte: son decisiones en cada punto donde entra o sale texto del usuario.
Tu texto se guarda sólo en este dispositivo.
Comentarios
Inicia sesión para comentar.
Todavía no hay comentarios. Sé la primera persona en opinar.