Перед сном наткнувся на купу демонстрацій автоматичної торгівлі AI-агентами, виглядає досить гладко, але моя перша реакція не в тому, чи заробляє це чи ні: а в тому, які дозволи ця штука має на ланцюгу, щоб рухати ваш гаманець… Кажучи прямо, будь-хто може розповідати свою історію, безпека — це те, що потрібно ретельно перевіряти самостійно.

Новачки, які хочуть перевірити, наскільки проект “надійний”, зазвичай спершу дивляться на три речі: чи активно працює GitHub (не лише змінює README), чи чітко вказані в аудиті межі та незавершені пункти (багато звітів мають гарний висновок, але виключають ключові модулі), і хто виконує оновлення мульти-підпису, яка кількість підписів потрібна, чи є таймлок. Права на оновлення у кількох осіб — це як ключі від дверей: їх можна в будь-який момент замінити, тому не зупиняйтеся лише на словах “пройшов аудит”. В будь-якому разі, якщо я бачу запит на дозвіл з необмеженими правами, я спершу натискаю “відмовити”, а далі подумаю завтра…