Security: gate Anthropic-backed simulation analysis with auth and quotas
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
- 難易度
- 4/5
- 見積もり時間
- 3〜5日
- 初心者へのやさしさ
- 45/100
調査の方向性
policyengine_api/routes/simulation_analysis_routes.py:19-78 と policyengine_api/services/ai_analysis_service.py:45-77 から始めて、未認証リクエストが Anthropic を利用した分析に到達する経路を追跡します。エンドポイントとサービスの動作を確認し、未認証リクエストが拒否されることを証明するテストを追加して、意図されたレート制限またはクォータの適用を検証します。公開の呼び出し元が LLM クォータを繰り返し消費したり、任意の分析レコードを永続化したりできなければ完了です。
索引モデルが issue の本文から書いたものです。
説明
Summary
policyengine-api exposes an unauthenticated Anthropic-backed simulation analysis endpoint.
Severity
High
Impact
Attackers can burn LLM quota and persist arbitrary analysis records by repeatedly calling the endpoint.
Affected code
policyengine_api/routes/simulation_analysis_routes.py:19-78policyengine_api/services/ai_analysis_service.py:45-77
Details
/simulation-analysis accepts public requests, and AIAnalysisService immediately initializes an Anthropic client with ANTHROPIC_API_KEY and streams a response for new prompts.
Expected behavior
LLM-backed analysis should require auth, rate limits, and ideally per-user quotas or explicit feature gating.
Suggested remediation
- Require authenticated callers
- Add rate limiting / quota enforcement
- Consider caching and internal-only generation paths for expensive prompts
- Add tests proving unauthenticated requests are denied
- 主要言語
- Python
- スター
- 18
- フォーク
- 33
- 平均マージ
- 1日 7時間
- マージ済み PR（30日）
- 22
環境構築
- Dockerfile・Docker Compose ファイルなし
- プルリクエストのテンプレートなし
- コントリビューションガイドを読む
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
PolicyEngine/policyengine-api のほかの issue
-
難易度 4/5 3〜5日 初心者へのやさしさ 55/100
PolicyEngine/policyengine-api#3865 ·
メンテナーはふだん 1 日以内に返信
-
難易度 4/5 3〜5日 初心者へのやさしさ 35/100
PolicyEngine/policyengine-api#3864 ·
メンテナーはふだん 1 日以内に返信
-
Replace rich SPM provenance with compact typed receipts対応中かも @anth-volk が 3 日前に担当しました。 オープン
難易度 5/5 1週間以上 初心者へのやさしさ 42/100
PolicyEngine/policyengine-api#3862 ·
メンテナーはふだん 1 日以内に返信
-
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
PolicyEngine/policyengine-api#3860 ·
メンテナーはふだん 1 日以内に返信
-
難易度 5/5 1週間以上 初心者へのやさしさ 38/100
PolicyEngine/policyengine-api#3823 ·
メンテナーはふだん 1 日以内に返信