Изграждането на приложения чрез бързи подкани AI, често наричани "vibe кодиране", може да доведе до значителни пропуски в сигурността, ако генерираният изход не бъде прегледан щателно [S1]. Въпреки че инструментите на AI ускоряват процеса на разработка, те могат да предложат несигурни кодови модели или да накарат разработчиците случайно да ангажират чувствителна информация към хранилище [S3].
Въздействие
Най-непосредственият риск от неодитиран AI код е излагането на чувствителна информация, като API ключове, токени или идентификационни данни на база данни, които AI моделите могат да предложат като твърдо кодирани стойности [S3]. Освен това, генерираните от AI фрагменти може да нямат основни контроли за сигурност, оставяйки уеб приложенията отворени за често срещани вектори на атака, описани в стандартната документация за сигурност [S2]. Включването на тези уязвимости може да доведе до неоторизиран достъп или излагане на данни, ако не бъдат идентифицирани по време на жизнения цикъл на разработка [S1][S3].
Първопричина
AI инструментите за допълване на код генерират предложения въз основа на данни за обучение, които може да съдържат несигурни модели или изтекли тайни. В работния процес на „vibe кодиране“ фокусът върху скоростта често води до това, че разработчиците приемат тези предложения без задълбочен преглед на сигурността [S1]. Това води до включването на твърдо кодирани тайни [S3] и потенциалното пропускане на критични функции за сигурност, необходими за сигурни уеб операции [S2].
Конкретни поправки
- Внедрете тайно сканиране: Използвайте автоматизирани инструменти за откриване и предотвратяване на ангажирането на API ключове, токени и други идентификационни данни към вашето хранилище [S3].
- Активиране на автоматизирано сканиране на код: Интегрирайте инструменти за статичен анализ във вашия работен процес, за да идентифицирате общи уязвимости в генерирания от AI код преди внедряването на [S1].
- Придържайте се към най-добрите практики за уеб сигурност: Уверете се, че целият код, независимо дали е генериран от хора или AI, следва установените принципи за сигурност за уеб приложения [S2].
Как FixVibe го тества
FixVibe вече покрива това изследване чрез GitHub репо сканирания.
repo.ai-generated-secret-leakсканира източника на хранилище за твърдо кодирани ключове на доставчик, Supabase JWT за роля на услугата, частни ключове и присвоявания, подобни на тайни с висока ентропия. Доказателствата съхраняват визуализации на маскирани линии и тайни хешове, а не необработени тайни.code.vibe-coding-security-risks-backfillпроверява дали репото има защитни парапети около AI-подпомогната разработка: сканиране на код, тайно сканиране, автоматизация на зависимости и инструкции на AI-агент.- Съществуващите проверки на внедрени приложения все още покриват тайни, които вече са достигнали до потребителите, включително изтичане на JavaScript пакети, токени за съхранение на браузъра и разкрити карти на източника.
Заедно тези проверки разделят конкретните секретни доказателства от по-широките пропуски в работния процес.