Proton продает приватность. Её генеральный директор назвал тестирование безопасности «мышлением проигравших». 90% кода написано ИИ, запрос на пентест высмеян в Slack, а кошелек bitcoin находится под одной крышей. В октябре 90% кода Proton было написано ИИ. Когда инженер попросил несколько дней на пентест нового кода, генеральный директор назвал это «мышлением проигравших». ---------------------- Proton предлагает зашифрованную электронную почту, VPN, менеджер паролей и самоконтролируемый кошелек bitcoin. На собственном сайте компания утверждает, что обслуживает более 100 миллионов человек. История опубликована 404 Media (29 октября): восемь текущих и один бывший сотрудник, чаты в Slack, аудиозаписи встреч и манифест технического директора. Пресс-секретарь Proton не оспорил материалы. Что происходит, когда компания, продающая приватность, решает, что проверка — это узкое место? 👇 🔹Нитка в Slack, которую не должны были читать🔹 Конец августа, канал безопасности. Один из сотрудников просит несколько дней на пентест нового кода перед его запуском. Энди Йен: «Это чушь и мышление проигравших». Затем: «Перестаньте с любовью ручной выделки всего нашего кода и используйте ИИ чаще». Другой инженер возразил: безопасность «сейчас находится на низком приоритете». Прямого ответа не последовало. Тот же канал: «Это будет последний год, когда мы нанимаем инженеров». 🔹Цель дохода, стоящая за спешкой🔹 Внутренний документ говорит, что Proton не на пути к достижению целевого годового повторяющегося дохода «из-за недостаточной скорости». Еще одна фраза: «По всем ключевым метрикам мы — компания с низкой эффективностью». Технический директор Барт Батлер заявил на встрече, что 90% кода в октябре было написано ИИ. Программное обеспечение на компьютерах сотрудников отслеживает это. Таким образом, ИИ здесь — не выбор продукта. Это план роста. 🔹Откат с оговоркой🔹 Пятница, 30 октября: Йен отменил «переинтервью» ИИ, которые во внутреннем письме назывались «существенными» для сохранения работы. На том же общем собрании: «В дальнейшем я всё равно буду настаивать». Один из сотрудников сказал, что критерии, по которым проводились переинтервью, теперь будут использоваться в оценке производительности. Его ответ на Reddit получил более 1200 минусов. 🔹Почему это касается криптовалюты тоже🔹 Продвижение Proton Wallet простое: только вы можете получить доступ к своему bitcoin. Самоконтролируемый кошелек переносит доверие с баланса компании на её код. Никаких сообщений не указывает, что код кошелька прошел без проверки. Но культура, которая его выпускает, теперь задокументирована. На этой неделе все говорят о безопасности бирж. Самоконтролируемый кошелек задает тот же вопрос — без SAFU-фонда. 🔹Если вы используете Proton сегодня (не инвестиционный совет)🔹 ▫️ Ваши ключи 📝 Храните восстановительную фразу кошелька оффлайн, вне зависимости от того, в каком приложении она хранится. ▫️ Ваш 2FA 📝 Не храните менеджер паролей и коды аутентификатора в одном приложении. ▫️ Следующие обновления 📝 Следите, публикует ли Proton аудиты со стороны третьих лиц для кода, выпущенного после августа. Я успокоюсь, если Proton опубликует политику проверки кода, написанного ИИ, до следующей реорганизации в следующем месяце. Я буду более обеспокоен, если следующая серьезная уязвимость будет обнаружена внешним исследователем, а не внутри Proton. Код может быть на 90% написан ИИ. Доверие всё ещё на 100% человеческое. Вы бы доверили свои ключи компании, чей генеральный директор называет пентест «мышлением проигравших»?
