Effaith
Gall derbyn awgrymiadau cod a gynhyrchir gan AI yn anfeirniadol arwain at gyflwyno gwendidau diogelwch megis dilysu mewnbwn amhriodol neu ddefnyddio patrymau cod ansicr [S1]. Os yw datblygwyr yn dibynnu ar nodweddion cwblhau tasgau ymreolaethol heb gynnal archwiliadau diogelwch â llaw, maent mewn perygl o ddefnyddio cod sy'n cynnwys gwendidau rhithweledig neu sy'n cyfateb i bytiau cod cyhoeddus ansicr [S1]. Gall hyn arwain at fynediad heb awdurdod at ddata, ymosodiadau chwistrellu, neu ddatguddiad rhesymeg sensitif o fewn cymhwysiad.
Achos Gwraidd
Yr achos sylfaenol yw natur gynhenid Modelau Iaith Mawr (LLMs), sy'n cynhyrchu cod yn seiliedig ar batrymau tebygol a geir mewn data hyfforddi yn hytrach na dealltwriaeth sylfaenol o egwyddorion diogelwch [S1]. Er bod offer fel GitHub Copilot yn cynnig nodweddion fel Cyfeirnod Cod i nodi cyfatebiadau â chod cyhoeddus, y datblygwr dynol [S1] sy'n gyfrifol am sicrhau diogelwch a chywirdeb y gweithrediad terfynol. Gall methu â defnyddio nodweddion lliniaru risg adeiledig neu ddilysu annibynnol arwain at boelerplate anniogel mewn amgylcheddau cynhyrchu [S1].
Atgyweiriadau Concrit
- Galluogi Hidlau Cyfeirio Cod: Defnyddiwch nodweddion adeiledig i ganfod ac adolygu awgrymiadau sy'n cyd-fynd â chod cyhoeddus, gan ganiatáu i chi asesu cyd-destun trwydded a diogelwch y ffynhonnell wreiddiol [S1].
- Adolygiad Diogelwch â Llaw: Perfformiwch adolygiad â llaw gan gymheiriaid bob amser o unrhyw floc cod a gynhyrchir gan gynorthwyydd AI i sicrhau ei fod yn trin achosion ymyl a dilysu mewnbwn yn gywir [S1].
- Gweithredu Sganio Awtomataidd: Integreiddio profion diogelwch dadansoddi statig (SAST) i'ch piblinell CI/CD i ganfod gwendidau cyffredin y gallai cynorthwywyr AI awgrymu'n anfwriadol [S1].
Sut mae FixVibe yn ei brofi
Mae FixVibe eisoes yn ymdrin â hyn trwy sganiau repo sy'n canolbwyntio ar dystiolaeth diogelwch go iawn yn hytrach na hewristeg sylwadau gwan AI. Mae code.vibe-coding-security-risks-backfill yn gwirio a oes gan repos gwe-app sganio cod, sganio cyfrinachol, awtomeiddio dibyniaeth, a chyfarwyddiadau diogelwch asiant AI. Mae code.web-app-risk-checklist-backfill a code.sast-patterns yn edrych am batrymau ansicr concrid megis rhyngosodiad SQL amrwd, sinciau HTML anniogel, cyfrinachau arwyddion gwan, datguddiad allweddol rôl gwasanaeth, a risgiau eraill ar lefel cod. Mae hyn yn cadw canfyddiadau ynghlwm wrth reolaethau diogelwch y gellir eu gweithredu yn hytrach na dim ond tynnu sylw at y ffaith bod teclyn fel Copilot neu Cursor wedi'i ddefnyddio.