sie 2026
Audyt architektury Chatwoot
14 agentów-specjalistów i 3 niezależnych weryfikatorów zbadało open-source’owy help desk przed planowanym forkiem
- CRM i dane
- Badanie techniczne
- Czas trwania
- 1 miesiąc
- Firma
- Epsilon Solutions
- Rola
- Projekt metody badawczej i jej przeprowadzenie
Przegląd
Oparty na pomiarach audyt Chatwoot 4.16.2, open-source’owego help desku, wykonany przed planowanym forkiem, z którego ma powstać własna omnikanałowa platforma czatowa Epsilon. Czternastu agentów-specjalistów sprawdziło 14 hipotez dotyczących jego architektury i bezpieczeństwa, a 3 niezależnych agentów weryfikujących ponownie oceniło każde ustalenie.
Narzędzia
- Docker
- PostgreSQL
- Claude Code
Dowody przed forkiem
Epsilon planował zrobić fork Chatwoot i zbudować na nim własną platformę omnikanałową w duchu Respond.io. Zanim zapadła decyzja, potrzebne były dowody, a nie opinie: jak baza kodu licząca ok. 250 tys. linii frontendu i 67 tys. linii backendu zachowuje się w małej, średniej i dużej skali oraz jak bardzo jest bezpieczna.
Jedna warstwa na agenta
Chatwoot działał lokalnie w Docker Compose z bazą wypełnioną danymi. Każdy agent Claude Code wziął jedną warstwę, według briefu działającego jak umowa: stan frontendu, bezpieczeństwo typów, rozsyłanie zdarzeń, callbacki modeli, nakładkę enterprise, komunikację w czasie rzeczywistym ActionCable, obciążenie Postgres, kolejki Sidekiq, uruchamianie kontenerów i pakiet i18n, a do tego autoryzację, izolację najemców, zależności, powierzchnię ataku przez wstrzykiwanie i realną możliwość wykorzystania podatności.
Sprawdzone w ciemno
Trzech agentów weryfikujących, którzy nigdy nie widzieli wyjściowych hipotez, ponownie oceniło każde ustalenie pod trzema kątami: poprawności, skali i alternatyw. Synteza uszeregowała następnie ryzyka osobno dla każdego przedziału skali i wymieniła ograniczenia samej metody.
Rezultat
Audyt przyniósł 42 ustalenia: 31 potwierdzonych, 8 z obniżoną wagą i 3 sporne, a sami agenci obalili 4 z 14 wyjściowych hipotez. Największymi ryzykami w dużej skali okazały się globalny limit żądań per IP za proxy, pula workerów ActionCable podczas fal ponownych połączeń oraz pakiet tłumaczeń dashboardu ważący 13,14 MB.