اگر خروجی تولید شده [S1] به طور کامل بررسی نشود، ایجاد برنامههای کاربردی از طریق درخواست سریع AI، که اغلب به عنوان "کدگذاری vibe" نامیده میشود، میتواند منجر به نظارتهای امنیتی قابل توجهی شود. در حالی که ابزارهای AI روند توسعه را تسریع میکنند، ممکن است الگوهای کد ناامن را پیشنهاد کنند یا توسعهدهندگان را وادار کنند که بهطور تصادفی اطلاعات حساس را به مخزن [S3] تحویل دهند.
تاثیر
فوریترین خطر کد AI ممیزی نشده، قرار گرفتن در معرض اطلاعات حساس، مانند کلیدهای API، نشانهها، یا اعتبار پایگاه داده است که مدلهای AI ممکن است آن را بهعنوان ZBXCVETOKEN6ZXCV بهعنوان ZBXCVENF0Hardcoded نشان دهند. علاوه بر این، قطعههای تولید شده توسط AI ممکن است فاقد کنترلهای امنیتی ضروری باشند و برنامههای وب را برای بردارهای حمله معمولی که در مستندات امنیتی استاندارد [S2] توضیح داده شده است، باز بگذارند. اگر در طول چرخه عمر توسعه [S1][S3] شناسایی نشود، گنجاندن این آسیبپذیریها میتواند منجر به دسترسی غیرمجاز یا قرار گرفتن در معرض دادهها شود.
علت اصلی
ابزار تکمیل کد AI پیشنهادهایی را بر اساس داده های آموزشی ایجاد می کند که ممکن است حاوی الگوهای ناامن یا اسرار افشا شده باشد. در یک گردش کار "کدگذاری vibe"، تمرکز بر سرعت اغلب باعث میشود که توسعهدهندگان این پیشنهادات را بدون بررسی امنیتی کامل [S1] بپذیرند. این منجر به گنجاندن اسرار رمزگذاری شده [S3] و حذف احتمالی ویژگی های امنیتی حیاتی مورد نیاز برای عملیات وب امن [S2] می شود.
رفع بتن
- اجرای اسکن مخفی: از ابزارهای خودکار برای شناسایی و جلوگیری از تعهد کلیدهای API، نشانه ها و سایر اعتبارنامه ها به مخزن [S3] خود استفاده کنید.
- فعال کردن اسکن خودکار کد: ابزارهای تجزیه و تحلیل استاتیک را در گردش کار خود ادغام کنید تا آسیب پذیری های رایج در کد تولید شده توسط AI قبل از استقرار شناسایی شود.
- بهترین شیوه های امنیت وب را رعایت کنید: اطمینان حاصل کنید که همه کدها، چه انسانی و چه توسط AI تولید شده، از اصول امنیتی تعیین شده برای برنامه های کاربردی وب [S2] پیروی می کنند.
چگونه FixVibe آن را آزمایش می کند
FixVibe اکنون این تحقیق را از طریق اسکن مخزن GitHub پوشش می دهد.
repo.ai-generated-secret-leakمنبع مخزن را برای کلیدهای ارائهدهنده کد سخت، JWTهای نقش سرویس Supabase، کلیدهای خصوصی و تخصیصهای مخفی با آنتروپی بالا اسکن میکند. شواهد پیشنمایشهای خط نقابدار و هشهای مخفی را ذخیره میکند، نه اسرار خام.code.vibe-coding-security-risks-backfillبررسی می کند که آیا مخزن حفاظ های امنیتی در اطراف توسعه به کمک AI دارد: اسکن کد، اسکن مخفی، اتوماسیون وابستگی، و دستورالعمل های عامل AI.- بررسیهای برنامههای مستقر موجود همچنان اسرار را پوشش میدهد که قبلاً به دست کاربران رسیده است، از جمله نشتهای بسته جاوا اسکریپت، نشانههای ذخیرهسازی مرورگر، و نقشههای منبع افشا شده.
این بررسیها با هم، شواهد محرمانه متعهد را از شکافهای گستردهتر گردش کار جدا میکنند.