‏Superblocks: کنترل اپ‌های داخلی که با هوش مصنوعی ساخته می‌شن

یه کارمند با هوش مصنوعی یه اپ داخلی می‌سازه، کار می‌کنه و با همکاراش به اشتراکش می‌ذاره. مشکل بعداً پیدا می‌شه: هیچ‌کس مشخص نکرده کی چی رو می‌بینه، کی چی رو تأیید می‌کنه و سابقهٔ تصمیم‌ها کجا ثبت می‌شه. طبق این مقاله، Superblocks این اپ‌ها رو با همون کنترل‌هایی می‌پوشونه که IT از نرم‌افزار داخلی انتظار داره: SSO، دسترسی بر اساس نقش، اسکن امنیتی خودکار و audit log.

دمو یه CRM پشتیبانی مشتری بود: کارشناس پشتیبانی درخواست بازپرداخت (refund) می‌ده و مدیر تأییدش می‌کنه. نکتهٔ اصلی مقاله اینه که مخفی کردن دکمهٔ approve از کاربر اشتباه، چک دسترسی نیست. عملیاتی که واقعاً وضعیت refund رو تو دیتابیس عوض می‌کنه باید خودش بررسی کنه که کاربر واقعاً مدیره. اگه بک‌اند به هرچی مرورگر می‌فرسته اعتماد کنه، هر کسی که به اون endpoint دسترسی داره می‌تونه refund خودش رو تأیید کنه.

برای همین Superblocks دو لایه دسترسی داره: یکی اینکه کی اصلاً می‌تونه اپ رو باز یا ویرایش کنه، یکی هم قانون کسب‌وکار داخل منطق اپ که با هویت واقعی کاربر لاگین‌شده چک می‌شه. همهٔ اپ‌ها به‌صورت پیش‌فرض SSO دارن (یعنی ورود با حساب سازمانی)، پس اپ خودش می‌دونه کی وارد شده و عضو کدوم گروهه. نقش کاربر دیگه یه dropdown نیست که خودش انتخاب کنه، از سیستم هویت شرکت میاد.

اسکن امنیتی سه بار اجرا می‌شه: موقع ساخت، موقع انتشار و تو محیط production. تو این دمو، اسکن موقع انتشار دو مشکل پیدا کرد: اپ به اطلاعات هویتی که از مرورگر میومد اعتماد می‌کرد و مبلغ refund رو با مبلغ اصلی سفارش مقایسه نمی‌کرد. بعد از رفع خودکار و اسکن دوباره، فقط یه هشدار کم‌اهمیت موند، اینکه تأیید شبیه‌سازی‌شده هنوز تو مرورگر انجام می‌شد نه سمت سرور.

دو جور سابقه هم نگه داشته می‌شه: داخل اپ، رکورد کسب‌وکاری مثل مبلغ، دلیل و تصمیم refund. سمت پلتفرم، audit log همهٔ تغییرات اپ و یه security center که به IT نشون می‌ده چه اپ‌هایی وجود داره، کی ساختشون و چه آسیب‌پذیری‌هایی دارن. برای داده‌های حساس، گزینهٔ cloud-prem هم هست که اپ، داده‌ها و پردازش هوش مصنوعی (از طریق Amazon Bedrock) رو داخل حساب AWS خود شرکت اجرا می‌کنه، یعنی پرامپت‌ها و دادهٔ مشتری از زیرساخت شخص ثالث رد نمی‌شن.

نکات کلیدی:

• مخفی کردن دکمه تو UI کنترل امنیتی نیست و بک‌اند باید نقش کاربر رو جدا بررسی کنه.
• همهٔ اپ‌های Superblocks به‌صورت پیش‌فرض SSO دارن و نقش از سیستم هویت شرکت میاد.
• اسکن امنیتی تو سه مرحله اجرا می‌شه: build، publish و production.
• تو دموی CRM، اسکن اعتماد به هویت سمت مرورگر و چک نشدن مبلغ refund رو پیدا کرد.
• گزینهٔ cloud-prem همه‌چیز، حتی inference با Amazon Bedrock، رو داخل حساب AWS شرکت نگه می‌داره.
• دستیار هوش مصنوعی Superblocks اسمش Clark هست و از knowledge base شرکت، مثل design system، استفاده می‌کنه.