Cara Mengaudit Source Code yang Dibuat Menggunakan AI

Mulai dari tujuan, bukan dari jumlah temuan

Kumpulkan requirement, diagram alur, role pengguna, klasifikasi data, integrasi, dan cara aplikasi digunakan. Tanpa konteks ini, reviewer hanya dapat menilai style dan vulnerability umum, bukan apakah logic bisnisnya benar.

Langkah audit yang disarankan

Lakukan audit secara berlapis agar masalah struktural tidak tertutup oleh ratusan peringatan kecil.

• Petakan entry point, modul, data flow, trust boundary, serta layanan eksternal.
• Bandingkan requirement dan acceptance criteria dengan implementasi nyata.
• Periksa authentication, authorization, validation, session, dan error handling.
• Inventarisasi dependency, lisensi, versi, provenance, dan package yang tidak digunakan.
• Cari secret, data sensitif, logging berlebihan, serta konfigurasi production yang berbahaya.
• Jalankan lint, type check, SAST, dependency scan, unit, integration, dan end-to-end test.
• Periksa migration, backup, restore, observability, deployment, dan rollback.

Temuan khas kode buatan AI

Reviewer sering menemukan helper yang fungsinya tumpang tindih, abstraction yang tidak mengikuti pola repository, validasi hanya di frontend, authorization yang terlalu umum, test happy path, dependency yang sebenarnya tidak diperlukan, dan komentar yang meyakinkan tetapi tidak sesuai perilaku kode.

Prioritaskan berdasarkan dampak

Klasifikasikan temuan menjadi critical, high, medium, dan low berdasarkan kemungkinan eksploitasi atau kegagalan serta dampaknya pada bisnis. Temuan authentication, data loss, transaksi, dan remote code execution harus diselesaikan sebelum perapian style.

Output audit yang berguna

Laporan audit sebaiknya berisi bukti, lokasi, skenario dampak, rekomendasi, effort relatif, pemilik, dan kriteria verifikasi. Tujuannya bukan sekadar memberi nilai pada kode, tetapi menyediakan rencana perbaikan yang dapat dijalankan.