开发者用 Claude Code 做确定性授权检查工具，称 AI 时代 RBAC 绕过是最大隐患
prasanna_says · x · 2026-11-11
作者 makash 分享了 2026 年初用 Claude Code 做的确定性授权检查工具，当时自主渗透测试 agent 正流行。
核心论点：AI 代码生成普及后，SaaS 会越来越多租户化、功能越来越多走 API 路由并用 RBAC 保护，访问控制绕过将成为主要攻击面——一些 AI 基础设施公司被黑很可能正是授权绕过所致。
其工具的做法是读取单页应用的 JavaScript，构建覆盖用户、角色与 API 路由的完整授权矩阵，已在 8-10 个行业垂直领域验证，常发现低权限角色实际拥有过高权限。他反驳了「模型会变得很强、没必要做确定性工具」的质疑。
「编程与Agent」频道最新
- 隔离 VM 里跑 10 个 DeepSeek 智能体互相通信找漏洞，实测极其有效 — teortaxesTex · 2026-11-11
- 一条 Claude 提示词复刻 2.55 亿播放 3D 短片，Opus 与 Fable 不到3小时出片 — FinanceYF5 · 2026-11-11
- Fable 指挥本地 Qwen 执行：立体书成本降 80% 提速一半 — FinanceYF5 · 2026-11-11
- YC CEO Garry Tan 开源自己的智能体记忆库 gbrain，已存 15.5 万页 — victor_explore · 2026-11-11
- Rabbit OS3 在 Slack 秒级自动修 bug 引开发者围观 — SimonBalmain · 2026-11-11
- LittlePly 作者复盘：模型与 harness 共同构成 agent，时钟管理与失败恢复同样重要 — andreisavu · 2026-11-11