ਤੇਜ਼ੀ ਨਾਲ AI ਪ੍ਰੋਂਪਟਿੰਗ ਦੁਆਰਾ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਬਣਾਉਣਾ, ਜਿਸਨੂੰ ਅਕਸਰ "ਵਾਈਬ ਕੋਡਿੰਗ" ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਮਹੱਤਵਪੂਰਨ ਸੁਰੱਖਿਆ ਨਿਗਰਾਨੀ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦਾ ਹੈ ਜੇਕਰ ਉਤਪੰਨ ਆਉਟਪੁੱਟ ਦੀ ਚੰਗੀ ਤਰ੍ਹਾਂ ਨਾਲ [S1] ਦੀ ਸਮੀਖਿਆ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਜਦੋਂ ਕਿ AI ਟੂਲ ਵਿਕਾਸ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਤੇਜ਼ ਕਰਦੇ ਹਨ, ਉਹ ਅਸੁਰੱਖਿਅਤ ਕੋਡ ਪੈਟਰਨ ਦਾ ਸੁਝਾਅ ਦੇ ਸਕਦੇ ਹਨ ਜਾਂ ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਗਲਤੀ ਨਾਲ ਇੱਕ ਰਿਪੋਜ਼ਟਰੀ [S3] ਨੂੰ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਦੇਣ ਲਈ ਅਗਵਾਈ ਕਰ ਸਕਦੇ ਹਨ।
ਪ੍ਰਭਾਵ
ਗੈਰ-ਆਡਿਟ ਕੀਤੇ AI ਕੋਡ ਦਾ ਸਭ ਤੋਂ ਤੁਰੰਤ ਜੋਖਮ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਦਾ ਐਕਸਪੋਜਰ ਹੈ, ਜਿਵੇਂ ਕਿ API ਕੁੰਜੀਆਂ, ਟੋਕਨਾਂ, ਜਾਂ ਡੇਟਾਬੇਸ ਪ੍ਰਮਾਣ ਪੱਤਰ, ਜੋ ਕਿ AI ਹਾਰਡ ਵੈਲਯੂ ਦੇ ਰੂਪ ਵਿੱਚ ਸੁਝਾਅ ਦੇ ਸਕਦੇ ਹਨ। [S3]. ਇਸ ਤੋਂ ਇਲਾਵਾ, AI-ਤਿਆਰ ਕੀਤੇ ਸਨਿੱਪਟਾਂ ਵਿੱਚ ਜ਼ਰੂਰੀ ਸੁਰੱਖਿਆ ਨਿਯੰਤਰਣਾਂ ਦੀ ਘਾਟ ਹੋ ਸਕਦੀ ਹੈ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਨੂੰ ਮਿਆਰੀ ਸੁਰੱਖਿਆ ਦਸਤਾਵੇਜ਼ਾਂ [S2] ਵਿੱਚ ਵਰਣਿਤ ਆਮ ਹਮਲਾ ਵੈਕਟਰਾਂ ਲਈ ਖੁੱਲ੍ਹਾ ਛੱਡ ਕੇ। ਇਹਨਾਂ ਕਮਜ਼ੋਰੀਆਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਨਾਲ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ ਜਾਂ ਡੇਟਾ ਐਕਸਪੋਜ਼ਰ ਹੋ ਸਕਦਾ ਹੈ ਜੇਕਰ ਵਿਕਾਸ ਜੀਵਨ ਚੱਕਰ [S1][S3] ਦੌਰਾਨ ਪਛਾਣ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।
ਮੂਲ ਕਾਰਨ
AI ਕੋਡ ਸੰਪੂਰਨਤਾ ਸਾਧਨ ਸਿਖਲਾਈ ਡੇਟਾ ਦੇ ਅਧਾਰ ਤੇ ਸੁਝਾਅ ਤਿਆਰ ਕਰਦੇ ਹਨ ਜਿਸ ਵਿੱਚ ਅਸੁਰੱਖਿਅਤ ਪੈਟਰਨ ਜਾਂ ਲੀਕ ਹੋਏ ਰਾਜ਼ ਹੋ ਸਕਦੇ ਹਨ। ਇੱਕ "ਵਾਈਬ ਕੋਡਿੰਗ" ਵਰਕਫਲੋ ਵਿੱਚ, ਸਪੀਡ 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਨ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਅਕਸਰ ਡਿਵੈਲਪਰ ਬਿਨਾਂ ਕਿਸੇ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ [S1] ਦੇ ਇਹਨਾਂ ਸੁਝਾਵਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦੇ ਹਨ। ਇਹ ਹਾਰਡਕੋਡਡ ਰਾਜ਼ [S3] ਨੂੰ ਸ਼ਾਮਲ ਕਰਨ ਅਤੇ ਸੁਰੱਖਿਅਤ ਵੈੱਬ ਓਪਰੇਸ਼ਨ [S2] ਲਈ ਲੋੜੀਂਦੀਆਂ ਨਾਜ਼ੁਕ ਸੁਰੱਖਿਆ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਦੀ ਸੰਭਾਵੀ ਛੁਟਕਾਰਾ ਵੱਲ ਲੈ ਜਾਂਦਾ ਹੈ।
ਕੰਕਰੀਟ ਫਿਕਸ
- ਗੁਪਤ ਸਕੈਨਿੰਗ ਨੂੰ ਲਾਗੂ ਕਰੋ: API ਕੁੰਜੀਆਂ, ਟੋਕਨਾਂ, ਅਤੇ ਤੁਹਾਡੀ ਰਿਪੋਜ਼ਟਰੀ [S3] ਲਈ ਹੋਰ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੀ ਵਚਨਬੱਧਤਾ ਨੂੰ ਖੋਜਣ ਅਤੇ ਰੋਕਣ ਲਈ ਸਵੈਚਲਿਤ ਸਾਧਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ।
- ਆਟੋਮੇਟਿਡ ਕੋਡ ਸਕੈਨਿੰਗ ਨੂੰ ਸਮਰੱਥ ਬਣਾਓ: ਤੈਨਾਤੀ ਤੋਂ ਪਹਿਲਾਂ AI-ਤਿਆਰ ਕੋਡ ਵਿੱਚ ਆਮ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਸਥਿਰ ਵਿਸ਼ਲੇਸ਼ਣ ਟੂਲਸ ਨੂੰ ਆਪਣੇ ਵਰਕਫਲੋ ਵਿੱਚ ਏਕੀਕ੍ਰਿਤ ਕਰੋ।
- ਵੈੱਬ ਸੁਰੱਖਿਆ ਦੇ ਸਰਵੋਤਮ ਅਭਿਆਸਾਂ ਦੀ ਪਾਲਣਾ ਕਰੋ: ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਸਾਰੇ ਕੋਡ, ਭਾਵੇਂ ਮਨੁੱਖੀ ਜਾਂ AI ਦੁਆਰਾ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੋਵੇ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨਾਂ [S2] ਲਈ ਸਥਾਪਤ ਸੁਰੱਖਿਆ ਸਿਧਾਂਤਾਂ ਦੀ ਪਾਲਣਾ ਕਰਦਾ ਹੈ।
FixVibe ਇਸਦੇ ਲਈ ਕਿਵੇਂ ਟੈਸਟ ਕਰਦਾ ਹੈ
FixVibe ਹੁਣ GitHub ਰੈਪੋ ਸਕੈਨ ਦੁਆਰਾ ਇਸ ਖੋਜ ਨੂੰ ਕਵਰ ਕਰਦਾ ਹੈ।
repo.ai-generated-secret-leakਹਾਰਡਕੋਡਡ ਪ੍ਰਦਾਤਾ ਕੁੰਜੀਆਂ, Supabase ਸਰਵਿਸ-ਰੋਲ JWTs, ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ, ਅਤੇ ਉੱਚ-ਐਂਟ੍ਰੋਪੀ ਗੁਪਤ-ਵਰਗੇ ਅਸਾਈਨਮੈਂਟਾਂ ਲਈ ਰਿਪੋਜ਼ਟਰੀ ਸਰੋਤ ਨੂੰ ਸਕੈਨ ਕਰਦਾ ਹੈ। ਸਬੂਤ ਸਟੋਰ ਮਾਸਕਡ ਲਾਈਨ ਪੂਰਵਦਰਸ਼ਨ ਅਤੇ ਗੁਪਤ ਹੈਸ਼, ਨਾ ਕਿ ਕੱਚੇ ਭੇਦ.code.vibe-coding-security-risks-backfillਜਾਂਚ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਰੈਪੋ ਵਿੱਚ AI-ਸਹਾਇਕ ਵਿਕਾਸ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਸੁਰੱਖਿਆ ਪਹਿਰੇ ਹਨ: ਕੋਡ ਸਕੈਨਿੰਗ, ਗੁਪਤ ਸਕੈਨਿੰਗ, ਨਿਰਭਰਤਾ ਆਟੋਮੇਸ਼ਨ, ਅਤੇ AI-ਏਜੰਟ ਨਿਰਦੇਸ਼।- ਮੌਜੂਦਾ ਤੈਨਾਤ-ਐਪ ਜਾਂਚਾਂ ਅਜੇ ਵੀ ਉਹਨਾਂ ਰਾਜ਼ਾਂ ਨੂੰ ਕਵਰ ਕਰਦੀਆਂ ਹਨ ਜੋ ਪਹਿਲਾਂ ਹੀ ਉਪਭੋਗਤਾਵਾਂ ਤੱਕ ਪਹੁੰਚ ਚੁੱਕੀਆਂ ਹਨ, ਜਿਸ ਵਿੱਚ JavaScript ਬੰਡਲ ਲੀਕ, ਬ੍ਰਾਊਜ਼ਰ ਸਟੋਰੇਜ ਟੋਕਨ, ਅਤੇ ਐਕਸਪੋਜ਼ ਕੀਤੇ ਸਰੋਤ ਨਕਸ਼ੇ ਸ਼ਾਮਲ ਹਨ।
ਇਕੱਠੇ, ਇਹ ਜਾਂਚਾਂ ਵਿਆਪਕ ਵਰਕਫਲੋ ਅੰਤਰਾਂ ਤੋਂ ਠੋਸ ਵਚਨਬੱਧ-ਗੁਪਤ ਸਬੂਤ ਨੂੰ ਵੱਖ ਕਰਦੀਆਂ ਹਨ।