En genomgång av koden — inte av dokumentationens påståenden — med den
granskning en fordonstillverkares leverantörskvalitet skulle göra.
Dokumentet säger uttryckligen att det är en intern övning med Volkswagen
AG som referenskund, inte en revision utförd av eller på uppdrag av dem.
Fyra kritiska fynd, varav två underminerar produktens kärnlöfte:
Servern tar emot anvandare och tidpunkt från klienten och kontrollerar
bara att de är strängar respektive sanningsvärda. JWT:n bär redan den
verifierade identiteten men används inte på den vägen. En append-only
logg vars författare och tidpunkt sätts av anroparen är inte en
revisionskedja.
Kvalitetsgrinden finns bara i webbläsaren. Ett ärende kan avslutas utan
evidens genom ett anrop till API:t, och rapporten presenterar det som
komplett. Dokumentationen säger att systemet aldrig kan skriva en
slutsats ECM inte godkänt; det stämmer inte vid API-gränsen.
De två övriga är rättsliga: append-only utan raderingsväg går inte att
förena med dataskyddsförordningens artikel 17, och överföringen av
kunduppgifter och VIN till modell-API:t saknar dokumenterad grund.
Sex allvarliga fynd, bland dem att mätvärden rankas som hög evidens utan
att bära vilket instrument som mätte eller om det var kalibrerat, och
att högvoltsteget går att svara nej på och ändå fortsätta.
Dokumentet listar också det som håller — och varför det bör skyddas i
åtgärdsarbetet. En revision som bara räknar fel ger en falsk bild.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012EQg3rJsrQ1ZNTvkzmQAtt
Claude
cdb3320c4a