„A jeśli klient zobaczy
nie swoją fakturę?”
Każdy ma własny panel. Ale czy serwer naprawdę sprawdza, kto prosi o dokument? To Ty będziesz wyjaśniać klientowi, jak jego dane trafiły do kogoś innego.
Konto ADokument B !
PENTESTY / PRYWATNOŚĆ / ANALIZA KODU
Świetna aplikacja.
A pod powierzchnią?
Logowanie działa. Płatności przechodzą. Ale czy dane Twoich klientów są bezpieczne? Sprawdź to, zanim ktoś znajdzie odpowiedź za Ciebie.
MNIEJ DOMYSŁÓW.
WIĘCEJ DOWODÓW.To, czego
WIĘCEJ DOWODÓW.
pentiwo.PRZYKŁAD / 2026
RAPORT Z AUDYTU
To, czego
nie widać
na ekranie.
Aplikacja demonstracyjna
3 przykładowe ustalenia
3 przykładowe ustalenia
Jeden użytkownik.
Dostęp do cudzych danych.
Sprawdzone.
Przez człowieka.
Przez człowieka.
Technologia analizuje. Człowiek weryfikuje.
BRZMI ZNAJOMO?
Na ekranie
wszystko gra.
A w głowie?
Chcesz rozwijać produkt.
Nie zastanawiać się, co przeoczyłeś.
„A jeśli klient zobaczy
„AI napisało kod.
Kto sprawdził resztę?”
Kolejne funkcje powstają w godzinę. Nie wiesz, czy razem z nimi nie wdrażasz ujawnionego klucza, błędu uprawnień albo podatnej biblioteki.
18
api_key = "••••••••••••"WYMAGA WERYFIKACJI„Dokumenty są.
A dokąd trafiają dane?”
Analityka, płatności, formularze, AI. Każda integracja to kolejny przepływ danych. Czy polityka prywatności opisuje to, co faktycznie robi aplikacja?
Twój klientAplikacja?
TWÓJ AUDYT. KONKRETNY REZULTAT.
Otwórz raport.
Zobacz, co dalej.
Wybierz ustalenie. Zobacz dowód. Przejdź do zalecenia.
Tak może wyglądać materiał, z którym wrócisz do swojego zespołu.
Dostęp do dokumentów innego klienta
Zalogowany użytkownik może odczytać dokument należący do innego konta. Wystarczy zmiana identyfikatora w zapytaniu.
CO TO OZNACZA DLA TWOJEJ FIRMY
Dane klienta mogą trafić do obcej osoby.
Faktury, adresy i historia zamówień powinny być widoczne wyłącznie dla właściciela. Błąd kontroli dostępu może naruszyć tę granicę.
PRIORYTETPrzed udostępnieniem funkcji klientom
Przykład dla fikcyjnej aplikacji. Kontekst, dowód, priorytet i zalecenie.Omówmy Twój zakres
TRZY WARSTWY WERYFIKACJI
AI widzi zależności.
Narzędzia sprawdzają reguły.
Człowiek wyciąga wnioski.
01 / SZERSZY KONTEKST
Modele, w tym Claude Mythos.
Korzystamy z zaawansowanych modeli z ograniczonym dostępem, żeby szukać błędów logiki i scenariuszy nadużyć, których nie obejmuje prosta reguła.
02 / POWTARZALNE TESTY
Deterministyczne narzędzia.
Skanery kodu, zależności i sekretów sprawdzają konkretne wzorce. Ich wyniki uzupełniają analizę modeli. AI może się mylić, a skaner zgłosić fałszywy alarm.
03 / ODPOWIEDZIALNA OCENA
Na końcu zawsze człowiek.
Weryfikuje dowody, odrzuca fałszywe alarmy i nadaje priorytety. Dostajesz sprawdzone wnioski i informację, czego nie udało się ustalić.
ZACZNIJ OD TEGO, CZEGO POTRZEBUJESZ
Trzy spojrzenia.
Na Twoją aplikację.
010203
Pentesty.
Sprawdzamy działającą aplikację od strony potencjalnego nadużycia.
Logowanie / uprawnienia / API / izolacja kontPrywatność.
Porównujemy wymagania i dokumenty z rzeczywistym przepływem danych.
RODO / formularze / cookies / dostawcyAnaliza kodu.
Zaglądamy pod powierzchnię. Łączymy AI z narzędziami deterministycznymi.
Logika / sekrety / zależności / konfiguracjaKażdy obszar możesz zamówić osobno. Zestaw narzędzi i zasady przetwarzania kodu ustalamy przed audytem.
OD PIERWSZEJ WIADOMOŚCI DO PLANU NAPRAW
Wiesz, na czym stoisz.
Na każdym etapie.
- 01
Ustalamy zakres.
Opisujesz aplikację. Potwierdzamy obszary, dostęp, dozwolone testy, termin i cenę.
- 02
Badamy i weryfikujemy.
Łączymy modele, narzędzia i ocenę specjalisty. Sprawdzamy dowody i kontekst.
- 03
Przekazujemy plan.
Dostajesz raport z priorytetami. Po wdrożeniu poprawek możemy uzgodnić ponowną weryfikację.
ZANIM ZACZNIEMY
Dobre pytania.
Konkretne odpowiedzi.
Czy to po prostu skanowanie przez AI?+
AI jest jedną z warstw analizy. Korzystamy również z narzędzi deterministycznych, które sprawdzają konkretne reguły i znane wzorce problemów. Końcowe wnioski ocenia człowiek: weryfikuje dowody, kontekst i priorytet. Także klasyczny skaner może zgłaszać fałszywe alarmy.
Czy aplikacja zbudowana z AI też może być sprawdzona?+
Tak. Sposób napisania aplikacji nie zmienia potrzeby sprawdzenia uprawnień, danych i logiki biznesowej. Zakres dobieramy do technologii i funkcji, niezależnie od tego, czy kod powstał ręcznie, czy z pomocą AI.
Czy potrzebujecie dostępu do mojego kodu?+
Do analizy kodu źródłowego tak. Pentest działającej aplikacji może odbyć się bez repozytorium, na uzgodnionym adresie i kontach testowych. Audyt prywatności wymaga także informacji o przetwarzanych danych, dostawcach i dokumentach.
Czy audyt oznacza pełne bezpieczeństwo i zgodność z RODO?+
Audyt dotyczy określonego zakresu i stanu aplikacji w danym momencie. Pokazuje problemy, braki i zalecenia, ale nie daje gwarancji braku wszystkich podatności. Audyt prywatności nie jest certyfikatem zgodności ani automatyczną opinią prawną.
Jakie modele AI analizują kod?+
Mamy dostęp do Claude Mythos, modelu udostępnianego w programach ograniczonego dostępu. Dobieramy go i inne zaawansowane modele do zadania, języka i wielkości repozytorium. Analizę uzupełniają deterministyczne skanery, a końcowe wnioski weryfikuje człowiek. Konkretny zestaw narzędzi i warunki przetwarzania kodu ustalamy przed zleceniem.
Czy testy mogą wpłynąć na działanie aplikacji?+
Testy bezpieczeństwa mogą wpływać na badany system. Przed rozpoczęciem ustalamy dozwolone działania, środowisko i ograniczenia. Preferujemy środowisko testowe i konta przeznaczone do audytu. Samo wysłanie zapytania nie uruchamia skanowania.
Co dzieje się po zgłoszeniu?+
Omawiamy aplikację, cel i dostępny zakres. Otrzymujesz propozycję audytu, cenę i termin. Analizę rozpoczynamy po zaakceptowaniu warunków i uzgodnieniu dostępu.
TWÓJ NASTĘPNY KROK
Zamień
„chyba działa”
na wiedzę.
Opisz aplikację i swoje obawy. Ustalimy zakres oraz indywidualną wycenę, zanim podejmiesz decyzję o audycie.
Porozmawiasz bezpośrednio ze mną.Damian Naprawa / twórca Pentiwoakademia@wkontenerach.pl ↗