CodeAudit AI кодыг асуулгүй илгээжээ: VS Code өргөтгөлөө шалга

VS Code-ийн CodeAudit AI өргөтгөл хөгжүүлэгч AI шалгалт эхлүүлээгүй байхад ойролцоогоор 50 тэмдэгтээс урт хуулж тавьсан кодыг сервер рүү автоматаар илгээдэг байсныг Akamai-ийн 2026 оны 10-р сарын 13-ны техникийн шинжилгээ тогтоожээ. Кодын хамт файлын нэр, ажлын орчны нэр, цагийн тэмдэглэгээ, хэрэглэгчийн танигч болон компьютер дээрх төслийн зам дамждаг байв.

Эрсдэл нь хэрэглэгч AI шалгалтын команд өгөөгүй байхад ч төслийн мэдээлэл ажлын орчноос гарч байсанд оршино. WebPulse-ийн 2026 оны 10-р сарын 14-ний тайлбар автомат илгээлт интерактив AI командын зөвшөөрлийн шалгалтыг алгасаж, шифрлээгүй HTTP ашигласныг тэмдэглэсэн. Өргөтгөл суусан эсэх, холбогдох сүлжээний хүсэлт, төхөөрөмж дээр үлдсэн логийг тус тусад нь шалгаснаар тухайн байгууллагын өртөлтийг илүү бодитой тогтооно.

Код ямар үед илгээгддэг байсан бэ

Өргөтгөл эхлэхдээ VS Code-ийн ажлын орчин дахь ердийн файлд хийсэн өөрчлөлтийг ажиглах сонсогч бүртгэдэг. Энэ сонсогч бичсэн, устгасан, хуулж тавьсан агуулгыг ялгаж, AI шалгалтын командыг дуудахыг хүлээдэггүй. Урт хуулж тавилтыг COPY_PASTE үйл явдал гэж ангилаад агуулгыг нь төслийн мэдээлэлтэй хамт арын сервер рүү ижил төстэй байдлыг шинжлэхээр явуулдаг байжээ.

Ажиглагдсан бүх засварыг сервер рүү илгээсэн гэж үзэж болохгүй. Автомат илгээлт нь хуулж тавьсан агуулгын тодорхой босготой холбоотой байсан бол бичсэн болон устгасан код төхөөрөмж дээрх локал логт хадгалагддаг. Түүнчлэн өргөтгөл эхлэх, ажлын орчин бэлтгэгдэх, Git-ийн салбар солигдох болон товлосон арын ажиллагааны үед репозиторийн алсын хаяг, төслийн хавтасны бүтэц, хамаарал болон төслийн бусад мэдээлэл автоматаар дамждаг байв.

Энэ ялгаа өртөлтийг тогтооход чухал. Локал логт нууц түлхүүртэй мөр байх нь уг мөр серверт очсоны шууд нотолгоо биш; харин урт хуулж тавилт болсон цагтай давхацсан гадагш чиглэсэн хүсэлт байвал илгээлтийг нарийвчлан шалгах үндэслэл болно. Сервер рүү илгээх зам нь хэрэглэгч код сонгож AI шинжилгээ хүсдэг замаас тусдаа ажилласан учир зөвшөөрлийн цонх харагдаагүй нь урсгал байгаагүй гэсэн үг биш.

Суусан өргөтгөлийг ID-гаар нь таних нь

Шалгалтыг дэлгэц дээр харагдах CodeAudit AI нэрээр хязгаарлахгүй, TejasKulkarni.codeaudit-ai ID-гаар тулгана. VS Code-ийн Extensions хэсэгт суусан өргөтгөлүүдийг харж болно. Олон төхөөрөмжийн бүртгэл цуглуулах бол командын мөрөнд code --list-extensions --show-versions ажиллуулж, гарсан жагсаалтаас ID болон суусан хувилбарыг тэмдэглэнэ.

VS Code-ийн командын мөрийн заавар суусан өргөтгөл, тэдгээрийн хувилбарыг харуулах болон тодорхой профайлын өргөтгөлийг тусад нь жагсаах боломжийг тайлбарладаг. Хөгжүүлэгч олон профиль ашигладаг бол төсөлтэй ажилласан профайлыг мөн шалгах хэрэгтэй. Өргөтгөл локал машин төдийгүй алсын хөгжүүлэлтийн орчинд суусан байж болох тул бодит ажилласан орчны бүртгэлийг орхигдуулж болохгүй. ID илэрсэн нь төхөөрөмжөөс код илгээгдсэнийг дангаараа тогтоохгүй; дараагийн шалгалтад хамруулах орчныг тодорхойлно.

Сүлжээний урсгал ба локал логийг тулгах нь

Суулгалт илэрвэл дараах таних тэмдгийг тухайн төхөөрөмжийн ажилласан хугацаа, нээж зассан төслүүдтэй холбон шалгана. Эдгээр нь шинжилгээнд дурдсан үеийн үзүүлэлт тул одоо амьд холболт харагдахгүй байгаагаар өмнөх ажиллагааг үгүйсгэж болохгүй.

• Өргөтгөлийн ID: TejasKulkarni.codeaudit-ai. Суусан хувилбар, ашигласан профиль, өргөтгөл идэвхтэй байсан хугацааг бүртгэнэ.
• Хүлээн авах хаяг: http://65.1.14.40:8000/api/v1. Шууд IP хаяг ашигласан тул зөвхөн DNS бүртгэлд найдахгүй; прокси, галт хана болон төхөөрөмжийн сүлжээний бүртгэлээс энэ IP, порт руу чиглэсэн HTTP хүсэлтийг хайна.
• Локал лог: ~/.ai_extension_logs/activity_tracker.txt. Файлд бичсэн, хуулж тавьсан, устгасан код, файлын нэр, төслийн танигч, цагийн тэмдэглэгээ хадгалагддаг. Логийг энгийн оношилгооны мэдээлэл бус, мэдрэмтгий эх код агуулж болзошгүй баримт гэж хамгаална.
• Зөвшөөрлийн урсгал: Хэрэглэгч AI шалгалтын команд өгсөн хугацааг автомат хүсэлтийн хугацаатай харьцуулна. Команд өгөөгүй үед хүсэлт гарсан бол энэ нь шинжилгээнд тайлбарласан арын ажиллагаатай нийцнэ.

Логийн файл шинэ мөр нэмэх үед түр бичих эрхтэй болж, дараа нь дахин зөвхөн унших эрхтэй болдог байжээ. Тиймээс файлд засвар хийх эрхгүй харагдлаа гээд хуучин бичлэг байхгүй гэж үзэх үндэслэлгүй. Шалгалтын хуулбарыг авахдаа эх файлын цагийн тэмдэглэгээ, хандах эрхийг тэмдэглэж, код агуулж болзошгүй хуулбарт нэвтрэх эрхийг хязгаарлана.

HTTP хүсэлт TLS хамгаалалтгүй дамжсан тул сүлжээний замд хандах боломжтой этгээд агуулгыг унших эсвэл өөрчлөх эрсдэлтэй. Гэхдээ зөвхөн IP хаягтай холбогдсон бүртгэл хүсэлт бүрийн агуулгыг харуулахгүй. Хэрэв байгууллага HTTP хүсэлтийн биеийг хадгалдаггүй бол холболтын хугацаа, хэмжээ, давтамжийг локал лог болон тухайн үед нээлттэй байсан репозиторийн мэдээлэлтэй тулгаж, дүгнэлтийнхээ хязгаарыг тэмдэглэх хэрэгтэй.

Илэрсэн төхөөрөмжид авах арга хэмжээ

Өргөтгөл суусан нь тогтоогдвол цаашдын илгээлтийг хязгаарлахын тулд түүнийг идэвхгүй болгож, холбогдох хаяг руу гарах урсгалыг зогсооно. Дараа нь устгахаасаа өмнө өргөтгөлийн ID, хувилбар, сүлжээний бүртгэл, локал логийн хуулбарыг өөрчлөлтөөс хамгаалж хадгална. Логт бодит эх код үлддэг тул түүнийг олон хүнд тараах нь өртөлтийг нэмэгдүүлж болзошгүй.

Дараагийн үнэлгээнд тухайн хугацаанд ямар төслүүд нээлттэй байсан, ямар код хуулж тавьсан, логт токен эсвэл нууц түлхүүр үлдсэн эсэхийг шалгана. Нууц мэдээлэл илгээгдсэн байж болох баримт гарвал холбогдох эрхийг хүчингүй болгож, түлхүүрийг сольж, репозиторийн эзэнд мэдээлэх арга хэмжээг тухайн мэдээллийн ангилалд тааруулна. Харин зөвхөн суулгалтын бүртгэлээр бүх төслийн нууц задраад дууссан гэж дүгнэх боломжгүй.

Нийтлэгдсэн шинжилгээ суулгалтын нийт тоо, серверийг хэн ажиллуулдаг болон илгээгдсэн кодыг цааш хэрхэн ашигласныг тогтоогоогүй. Байгууллагын хувьд дараагийн шийдвэрийг аль төхөөрөмжөөс ямар хугацаанд хүсэлт гарсан, тэр үед ямар төсөл нээлттэй байсан, хүсэлтийн агуулгын бүртгэл хадгалагдсан эсэхэд тулгуурлан гаргах шаардлагатай. Ингэснээр зөвхөн суулгалт илэрсэн төхөөрөмжийг, бодит илгээлтийн ул мөртэй төхөөрөмжөөс ялгаж үзнэ.

Мөн уншаарай:

• AI-ийн бичсэн кодыг merge хийхээс өмнө долоон шалгалт хий
• Passkey үүсгэхээс өмнө recovery-гаа шалга: сул зам хамгаалалтыг нураана
• Claude Code эсвэл Codex: зөв сонголт нь даалгаврын төрлөөс хамаарна