Рекомендации

Рекомендации отделяют автоматически полученный вывод от изменения базы знаний. Пользователь может изучить связанные HTTP-доказательства и затем принять или отклонить предложение.

В исследовании API рекомендации публикуются после завершения основного анализа и формирования итогового набора по результатам тестов и мнению модели. Весь набор доступен сразу: можно принять или отклонить предложения до их очереди автоматического разбора. Дашборд пропускает уже решённые рекомендации и учитывает новые предложения последующих задач. Счётчики по шагам и объектам сохраняются.

Рекомендации одного прохода шага исследования образуют общую группу, включая предложения последующих задач. Когда анализ успешно закончен и по всем предложениям принято решение, сохраняется результат завершения этого шага. Это работает и при ручном запуске ИИ-задачи без дашборда: принимать и отклонять рекомендации можно самостоятельно, с помощью ИИ или сочетая оба способа. Запуск отдельного шага не отмечает остальные шаги выполненными.

Рекомендации используются для следующих задач:

Группа	Что можно подтвердить
Проектные списки	Новые host, базовые URL, параметры, заголовки, cookie и идентификаторы.
Классификация API	Назначение операции, требование авторизации и покрытие тестами.
Свойства параметров	Обязательность параметров API.
Обнаружение API	Создание или связывание API по найденным маршрутам.
Связи API с запросами	Добавление и удаление связанных запросов: примеров операций, источников значений и мест использования API в коде.
Результаты ИИ	Добавление описания API или сохранение заключений по JavaScript-наблюдениям.

Рекомендации можно принимать или отклонять по одной либо сразу для нескольких выбранных строк. До принятия решения можно просмотреть приложенные запросы и исключить нерелевантные доказательства.

Для ожидающей рекомендации доступно действие «Разобрать с ИИ». Оно помогает отобрать полезные наблюдения и гипотезы, проверить повтор обнаруженной версии, уточнить предлагаемый комментарий, связи API и категорию доступа после тестов. О важной проблеме безопасности ИИ сообщает пользователю в Telegram: уведомление содержит категорию важности, заголовок и подробности; сообщение также записывается в журнал задачи. Если предметная проверка не нужна, действие принимает рекомендацию без обращения к модели; это относится и к уже подготовленным рекомендациям импорта OpenAPI и обнаружения API по строке. Уже принятую или отклонённую рекомендацию повторно отправить на такой разбор нельзя.

Текст предлагаемой заметки можно исправить и вручную на вкладке подробностей. При принятии сохраняется актуальный текст.

ИИ может предложить сразу несколько добавлений и удалений связей одного API. Каждое действие показано отдельной HTTP-вкладкой с типом связи, поиском по ответу и пояснением во всплывающей подсказке. Удаляемые связи выделены красным. Закрытие вкладки отменяет предложенное действие: связь не добавляется либо остаётся на наблюдении. При принятии выполняются только действия оставшихся вкладок.

Жёлтая вкладка добавляемого дочернего запроса предупреждает, что его метод, домен или контекст не соответствует правилам API. Проверьте запрос перед принятием; предупреждение не запрещает его прикрепить. Если у нового дочернего запроса HTTP-код ответа меньше, чем у основного, он становится первым.

Перед массовым принятием удобно отфильтровать рекомендации по типу и пройти результаты с наиболее сильными HTTP-доказательствами. Для рекомендации по API проверьте адрес и метод, для предложения о проектном списке — имя и значение, для вывода ИИ — текст и его опору на сохранённые данные.

Категория доступа

В итоговой рекомендации TESTED по API отдельная HTTP-вкладка может обосновывать категорию границы доступа:

Категория	Что означает
SESSION_BOUND_REQUEST	Данные должны быть доступны только текущему пользователю, сессии, tenant или владельцу.
CROSS_SESSION_ACCESS	Данные доступны из разных сессий; это может быть справочник или публичный ресурс.
IDOR	Возможный BOLA/IDOR: ответ на запрос к объекту требует проверки границы доступа.

Если категория выбрана неверно, откройте контекстное меню заголовка этой вкладки и выберите нужное значение в меню «Категория доступа». HTTP-доказательство останется прежним, а выбранная категория будет добавлена к наблюдению вместе с TESTED при принятии рекомендации. Эта категория не заменяет уровень доступа наблюдения, который ограничивает активные проверки.

При разборе TESTED ИИ может дополнительно проверить данные в разных сессиях и уточнить категорию. Если подобрать рабочие параметры не удалось, он оставит SESSION_BOUND_REQUEST; о конкретном непроверенном подозрении на IDOR сообщит отдельно, не выдавая его за подтверждённую уязвимость.

Цветовая индикация

В рекомендациях по результатам автоматических проверок и AI-анализа цвет помогает быстрее оценить приоритет вывода:

Цвет	Что означает
Красный	Доказанная или практически доказанная проблема безопасности.
Жёлтый	Подтверждённое поведение, которое само по себе не является уязвимостью, но может быть полезно в цепочке атаки.
Оранжевый	Результат автоматической проверки и вывод AI расходятся; перед принятием решения нужна ручная проверка.
Без подсветки	Дополнительного сигнала приоритета нет. Это не гарантирует безопасность запроса.

Цвет строки показывает наиболее важный сигнал рекомендации, а цвета вкладок указывают на связанные с ним HTTP-доказательства. Красный сигнал имеет приоритет над жёлтым. Если исключить доказательство из итоговой рекомендации TESTED, цвет строки будет пересчитан по оставшимся вкладкам.

Совпадение с проектным списком PDN добавляет в TESTED жёлтую вкладку с HTTP-ответом. Проверьте, допустимо ли раскрытие этих данных для запрошенного API и текущей сессии.

Подсветка помогает расставить приоритеты, но не заменяет просмотр HTTP-доказательств и ручное решение.