⚠️ Пять уровней защиты платежей в продукте, который собрал не программист Сборка платёжного модуля с помощью AI-агентов обнажает классическую проблему: сгенерированный код проходит happy path, но молча пропускает подмену цены на фронтенде и обход вебхуков — пользователь получает доступ бесплатно, просто открыв URL страницы «Спасибо». Автор материала на Habr, собирающий продукты в студии Hikmah Labs, добавил в процесс два нестандартных шага: до генерации кода он заставляет модель изучить документацию и предложить 2–3 безопасные архитектуры, а перед сдачей запускает свежего агента в чистой сессии с единственной задачей — обойти оплату, не зная замысла. Итоговый эшелон защиты включает логирование всех запросов, автоматическую блокировку подозрительных IP, контроль аномальных трат API, алерты в реальном времени и скрипт аварийного отключения внешних соединений. Такой подход не заменяет пентест — агенты всё ещё не видят инфраструктуру целиком и требуют ручной проверки каждой находки. Но для соло-разработчика он превращает безопасность из дорогостоящего внешнего аудита в итеративный процесс: атака должна стать дороже потенциальной выгоды. По сути, это adversarial prompting, только объект атаки — свой же продукт, и это заставляет думать как злоумышленник ещё до первого коммита. #AISecurity #AgenticAudit #LowCode #Payments