Wie Hacktron jedem Pull Request bei hackajob Sicherheitskontext aus der gesamten Codebasis gibt

„Die Herausforderung war nie der Aufwand oder das Fachwissen.

„Es war der Kontext. Niemand kann bei jedem Review so viel Kontext im Kopf behalten, auch nicht mit zwei Augenpaaren.“

Dragos Dimitriu
Compliance-Beauftragter

Über hackajob

hackajob wurde 2014 gegründet und entwickelt KI-Technologie für die Personalgewinnung, die mehr als 200 Unternehmen aus über 50 Branchen nutzen, darunter American Express, Tesco, Barclays, HSBC und Sainsbury’s.

Das Flaggschiffprodukt Archer findet, kontaktiert und qualifiziert Kandidaten für die Recruiting-Teams großer Unternehmen. Es greift auf 1,5 Millionen geprüfte Kandidaten und mehr als 800 Millionen indexierte Profile zurück und qualifiziert jeden Tag 250.000 Kandidaten anhand laufender Suchaufträge.

Bei diesem Umfang sind Autorisierungskontrollen für kundenbezogene Daten entscheidend.

Die Herausforderung: Reviewer sehen einen Diff, nicht den Aufrufgraphen

hackajob hatte bereits einen soliden Review-Prozess. Jeder Pull Request wurde von mindestens zwei Entwicklern geprüft, von denen keiner der Autor war. Die Grenze lag nicht im Review-Aufwand, sondern darin, wie viel Systemkontext jedem Reviewer zur Verfügung stand.

„Ein Reviewer sieht einen Diff, nicht den gesamten Aufrufgraphen. Die Fehler, die durchgerutscht sind, waren deshalb meist die, die erst sichtbar werden, wenn man verfolgt, wie eine Änderung mit Code an anderer Stelle im System zusammenspielt.“

Dragos Dimitriu
Compliance-Beauftragter

So fügt sich Hacktron ein: kontinuierliches Review bei jedem PR

hackajob lässt jetzt jeden Pull Request durch Hacktron Review laufen. Hacktron verfolgt jede Änderung durch die gesamte Codebasis, zeigt Befunde im Review-Workflow an und scannt Änderungen nach Fixes erneut. Außerdem hat hackajob einen Schwellenwert für den Schweregrad festgelegt, der einen Merge blockiert, wenn Hacktron ein Problem oberhalb dieses Schwellenwerts findet.

„Hacktron deckt mehr auf, als ein manueller Durchgang realistisch leisten kann, und es läuft bei jedem PR, nicht nur bei denen, die jemand als sicherheitsrelevant markiert.

„Wir liegen inzwischen bei 200 bis 250 Scans pro Woche, verteilt auf eine wachsende Zahl von Projekten. Darin sind erneute Scans nach Fixes enthalten, aber es ist trotzdem ein Volumen, das wir manuell nie in dieser Tiefe hätten prüfen können.“

Dragos Dimitriu
Compliance-Beauftragter

Analyse der Befunde

Seit dem ersten Hacktron-Review bei hackajob im Juni 2026:

Von den 143 triagierten Befunden waren 81,1 % echte Probleme und kein Rauschen.

Fehlerhafte Autorisierung auf Objektebene legt Daten anderer Kunden offen (Hoch)

Hacktron fand eine fehlerhafte Autorisierung auf Objektebene mit hohem Schweregrad in einem Pull Request, der Archer eine Chatfunktion mit Assistent hinzufügte.

Der Endpunkt prüfte die Eigentümerschaft bei Anfragen mit dem Scope Book, aber nicht bei den Scopes Account oder Cohort. Ein normaler Benutzer konnte die Kennung eines anderen Kunden angeben und dessen Kommunikation und Sentiment-Daten abrufen, obwohl sie außerhalb seiner Berechtigung lagen.

1
// A book scope may only be the caller's own book unless they're an admin.
2
if (
3
    parsed.data.scope.kind === "book" &&
4
    parsed.data.scope.ownerEmail !== user.email &&
5
    !user.isAdmin
6
) {
7
    return new Response("Forbidden", { status: 403 });
8
}
9
// <- no equivalent check existed for "account" or "cohort" scopes

Die geänderte Datei wirkte in sich stimmig. Das Problem wurde erst sichtbar, als Hacktron das Autorisierungsverhalten der verschiedenen Scope-Typen miteinander verglich.

„Im Diff sah nichts falsch aus, und genau deshalb wird so etwas im manuellen Review übersehen, egal wie erfahren der Reviewer ist.“

Dragos Dimitriu
Compliance-Beauftragter

Hacktron fing das Problem ab, bevor es den Main-Branch erreichte. hackajob behob es in weniger als einer Stunde im selben Pull Request, mit einer gemeinsamen Autorisierungsfunktion und Regressionstests für die betroffenen Pfade.

Die Ergebnisse: Sicherheitskontext aus der gesamten Codebasis

Jeder Pull Request erhält jetzt dasselbe Security-Review mit der gesamten Codebasis als Kontext. Die Entwickler bleiben für Triage und Merge-Entscheidungen verantwortlich. Hacktron gibt ihnen den Systemkontext, um diese Entscheidungen zu treffen, bevor Code den Main-Branch erreicht.

„Hacktron hat es im PR erkannt, also hat es nie unseren Main-Branch erreicht.

„Genau darauf kommt es uns an.“

Dragos Dimitriu
Compliance-Beauftragter