Programų kūrimas naudojant greitą AI raginimą, dažnai vadinamą „vibe kodavimu“, gali sukelti didelių saugumo pažeidimų, jei sugeneruota produkcija nėra nuodugniai peržiūrėta [S1]. Nors AI įrankiai pagreitina kūrimo procesą, jie gali pasiūlyti nesaugius kodo šablonus arba paskatinti kūrėjus netyčia įtraukti neskelbtiną informaciją į saugyklą [S3].
Poveikis
Tiesioginė neaudituoto AI kodo rizika yra neskelbtinos informacijos, pvz., API raktų, žetonų ar duomenų bazės kredencialų, kuriuos AI modeliai gali pasiūlyti kaip užkoduotas reikšmes API, atskleidimas. Be to, AI sugeneruotuose fragmentuose gali trūkti esminių saugos valdiklių, todėl žiniatinklio programos gali būti atviros įprastiems atakų vektoriams, aprašytiems standartiniuose saugos dokumentuose [S2]. Įtraukus šiuos pažeidžiamumus, gali būti neteisėta prieiga arba duomenų atskleidimas, jei jie nenustatyti per kūrimo gyvavimo ciklą [S1][S3].
Pagrindinė priežastis
AI kodo užbaigimo įrankiai generuoja pasiūlymus, pagrįstus mokymo duomenimis, kuriuose gali būti nesaugių šablonų arba nutekėjusių paslapčių. „Vibe kodavimo“ darbo eigoje, sutelkus dėmesį į greitį, kūrėjai dažnai priima šiuos pasiūlymus neatlikę nuodugnios saugos peržiūros [S1]. Dėl to įtraukiamos užkoduotos paslaptys [S3] ir gali būti praleistos svarbios saugos funkcijos, reikalingos saugioms žiniatinklio operacijoms [S2].
Betono pataisymai
– Įdiekite slaptą nuskaitymą: naudokite automatinius įrankius, kad aptiktumėte ir neleistumėte API raktų, prieigos raktų ir kitų kredencialų įtraukimo į jūsų saugyklą [S3]. – Įgalinkite automatinį kodų nuskaitymą: integruokite statinės analizės įrankius į savo darbo eigą, kad nustatytumėte įprastas AI sugeneruoto kodo pažeidžiamumą prieš įdiegiant [S1]. – Laikykitės geriausios žiniatinklio saugos praktikos: Užtikrinkite, kad visas kodas, nesvarbu, ar jis būtų sukurtas žmogaus, ar AI, atitiktų nustatytus žiniatinklio programų saugos principus [S2].
Kaip FixVibe tai tikrina
FixVibe dabar apima šį tyrimą per GitHub repo nuskaitymus.
repo.ai-generated-secret-leaknuskaito saugyklos šaltinį, kuriame ieškoma užkoduotų teikėjo raktų, Supabase paslaugų vaidmens JWT, privačių raktų ir didelės entropijos paslapčių priskyrimų. Įrodymai saugo užmaskuotas eilučių peržiūras ir slaptas maišas, o ne neapdorotas paslaptis.code.vibe-coding-security-risks-backfillpatikrina, ar atpirkimo sandoryje yra apsauginiai turėklai aplink AI padedamą kūrimą: kodo nuskaitymas, slaptas nuskaitymas, priklausomybės automatizavimas ir AI agento instrukcijos.
– Esamos įdiegtų programų patikros vis dar apima paslaptis, kurias jau pasiekė naudotojai, įskaitant „JavaScript“ paketo nutekėjimą, naršyklės saugyklos prieigos raktus ir atskleistus šaltinio žemėlapius.
Kartu šios patikros atskiria konkrečius slaptus įrodymus nuo didesnių darbo eigos spragų.