📌 Уязвимость не всегда живёт в одном файле
Когда мы ищем баги в коде, самые опасные цепочки часто размазаны по десяткам файлов. Данные приходят через controller, проходят DTO, service layer, helper’ы, а потом внезапно оказываются внутри SQL-запроса, shell-команды или file API.
На GitHub появился новый open-source инструмент от PhonePe "Nika".
Инструмент строит полный путь движения данных через приложение, что делает анализ намного ближе к реальной эксплуатации.
⚙️ Что умеет Nika?
Внутри:
🔹 строит межфайловый graph зависимостей
🔹 делает inter-procedural taint tracking
🔹 связывает source → propagation → sink
🔹 анализирует branch-aware изменения (полезно для PR review)
🔹 использует AI-assisted triage для сокращения false positives
Поддерживаемые sink’и:
• SQL execution
• File system operations
• Template engines
• Reflection
• Network requests
• Deserialization points
Для понимания, инструмент не про «подозрительные строки», а про реальные пути эксплуатации.
Для security review больших Java codebase это особенно полезно, потому что позволяет быстро понять, как именно пользовательский ввод проходит через бизнес-логику.
🤖 Интересный момент
После основного анализа Nika умеет прогонять findings через LLM и дополнительно фильтровать шум. Это хороший пример правильного применения AI в AppSec, т.к. AI здесь не ищет баги, а помогает понять насколько они эксплуатируемые.
🔗 Исходники:
https://github.com/PhonePe/nika
Stay secure and read SecureTechTalks 📚
#cybersecurity #appsec #devsecops #javasecurity #taintanalysis #securecoding #opensource #codeaudit #infosec #securetechtalks
