Как защитить приложение, построенное с помощью AI-инструментов кодирования

Почему приложения, созданные AI-, выходят из строя по-разному

Приложения с кодом Vibe могут быть безопасными. Им нужен дополнительный проход аудита, потому что виды сбоев являются структурными, а не небрежными:

• Cursor inlines hardcoded keys. Вы просите Cursor «исправить ошибку аутентификации», и он вставляет пример Supabase, в котором предполагается клиент с ролью службы. Ключ оказывается в верхней части компонента страницы. И анонимный клиент, и клиент службы сосуществуют; оба отправляются.
• Claude Code defaults to permissive CORS. Сгенерированные обработчики Express/Fastify поставляются с cors({ origin: '*' }), потому что это самый быстрый способ получить работающую предварительную версию. Промежуточное программное обеспечение никогда не проходит второй проход.
• Lovable and v0 skip the rules file. Проекты, поддерживаемые Firestore, генерируют модель данных, но редко затрагивают firestore.rules. Правила тестового режима истекают автоматически и блокируют базу данных без предупреждения пользователя.
• Bolt skips RLS migrations. Bolt генерирует схему Supabase и поверхность CRUD, использующую ключ anon. ENABLE ROW LEVEL SECURITY никогда не участвует в миграции. Анонимные пользователи могут читать и писать любую строку.
• Windsurf trusts unsigned IDs. Сгенерированный GET /api/items/[id] считывает параметр и запрашивает Postgres без проверки владения. Паттерн настолько распространен, что активный зонд active.idor-walking обнаруживает его за одно сканирование.

Немедленный аудит: просмотрите свою кодовую базу на наличие шаблонов риска

Прежде чем что-либо укреплять, найдите то, что уже сломано. Каждая из этих операций занимает менее минуты:

grep -RIn 'NEXT_PUBLIC_SUPABASE_SERVICE' src/
grep -RIn 'sk_live_\|pk_live_\|STRIPE_SECRET' src/
grep -RIn 'sk-ant-\|^sk-' src/  # Anthropic / OpenAI
grep -RIn 'AIza\|AKIA' src/        # Google / AWS
grep -RIn 'eyJh[A-Za-z0-9_-]\{20,\}' src/  # JWT-shaped strings

# Supabase migrations
grep -RIn 'CREATE TABLE public\.' supabase/migrations/
grep -RIn 'ENABLE ROW LEVEL SECURITY\|FORCE ROW LEVEL SECURITY' supabase/migrations/

# Firebase / Firestore
cat firestore.rules  # confirm no `if true;` matches

grep -RIn 'getSession()' src/   # should be getUser() server-side
grep -RIn 'localStorage\.\(set\|get\)Item.*token' src/
grep -RIn 'jwt.verify.*\(noVerify\|skipVerify\)' src/

# Confirm middleware location for src/ layouts
ls src/middleware.ts middleware.ts 2>&1

# Look for CSP and security headers
grep -RIn 'Content-Security-Policy\|Strict-Transport-Security' src/

Усиление во время развертывания

Как только исходный код будет очищен, заблокируйте путь приложения к рабочей версии.

// src/middleware.ts
import { NextResponse, type NextRequest } from 'next/server';

export function middleware(request: NextRequest) {
  const nonce = crypto.randomUUID().replace(/-/g, '');
  const csp = [
    `script-src 'nonce-${nonce}' 'strict-dynamic'`,
    `style-src 'self' 'unsafe-inline'`,
    `img-src 'self' data: https:`,
    `connect-src 'self' https://*.supabase.co`,
    `object-src 'none'`,
    `base-uri 'self'`,
    `frame-ancestors 'none'`,
  ].join('; ');

  const requestHeaders = new Headers(request.headers);
  requestHeaders.set('x-nonce', nonce);

  const response = NextResponse.next({ request: { headers: requestHeaders } });
  response.headers.set('Content-Security-Policy', csp);
  response.headers.set('X-Content-Type-Options', 'nosniff');
  response.headers.set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
  return response;
}

export const config = {
  matcher: ['/((?!_next/static|_next/image|favicon.ico).*)'],
};

-- supabase/migrations/XXXX_rls.sql
alter table public.profiles enable row level security;
alter table public.profiles force row level security;

create policy "profiles: read own"
  on public.profiles for select
  using (auth.uid() = id);

create policy "profiles: update own"
  on public.profiles for update
  using (auth.uid() = id)
  with check (auth.uid() = id);

// src/app/api/items/route.ts
import { NextResponse, type NextRequest } from 'next/server';
import { createClient } from '@/lib/supabase/server';

export async function POST(request: NextRequest) {
  const supabase = await createClient();
  const { data: { user } } = await supabase.auth.getUser();
  if (!user) return NextResponse.json({ error: 'unauthorized' }, { status: 401 });

  const body = await request.json();
  const { data, error } = await supabase
    .from('items')
    .insert({ ...body, user_id: user.id })  // server-supplied, not from body
    .select()
    .single();

  if (error) return NextResponse.json({ error: error.message }, { status: 400 });
  return NextResponse.json(data);
}

// src/app/api/posthog/[...path]/route.ts
import { type NextRequest } from 'next/server';

const UPSTREAM = 'https://us.i.posthog.com';

export async function POST(req: NextRequest, { params }: { params: Promise<{ path: string[] }> }) {
  const { path } = await params;
  const url = `${UPSTREAM}/${path.join('/')}`;
  return fetch(url, {
    method: 'POST',
    headers: { 'content-type': req.headers.get('content-type') ?? 'application/json' },
    body: await req.text(),
  });
}

function safeNext(raw: string | null): string {
  if (!raw) return '/dashboard';
  if (!raw.startsWith('/') || raw.startsWith('//')) return '/dashboard';
  return raw;
}

Продолжается: мониторинг и повторное сканирование

Дрифт происходит при каждом развертывании. Относитесь к безопасности как к циклу, а не как к контрольному списку, который вы выполняете.

# Or from CI, via the REST API:
curl -X POST https://fixvibe.app/api/v1/scans \
  -H "authorization: Bearer $FIXVIBE_TOKEN" \
  -H "content-type: application/json" \
  -d '{"target":"https://your-app.com"}'

Реальные модели сбоев и их исправления

Пять шаблонов, полученных при сканировании тысяч приложений, созданных AI-, каждый из которых имеет фактическое исправление:

1. Ключ роли службы в клиентском компоненте

   Symptom: baas.supabase-service-key находка на производстве URL. Cause: автозаполнение Cursor, вставленное createClient(URL, SERVICE_ROLE_KEY) в компонент React. Fix: переместите клиент службы в src/lib/supabase/service.ts с import 'server-only' вверху; создайте параллельный src/lib/supabase/client.ts, используя ключ anon для использования на стороне клиента; поверните ключ сервисной роли через Supabase Studio.

2. Правила Firestore остались в тестовом режиме

   Symptom: baas.firebase-rules вывод высокой степени тяжести. Cause: сгенерированные правила читаются как allow read, write: if request.time < timestamp.date(2026, 6, 1); — ограниченное по времени «разрешить все». Fix: распространите каждое правило на аутентифицированного пользователя — match /users/{userId}/posts/{postId} { allow read, write: if request.auth.uid == userId; } — и повторно разверните firebase deploy --only firestore:rules.

3. Разрешительное CORS выживание в производстве

   Symptom: active.cors высокая степень серьезности. Cause: создал промежуточное программное обеспечение Express: app.use(cors({ origin: '*' })). Fix: внесите в список разрешенных источник вашего интерфейса: app.use(cors({ origin: ['https://your-app.com'], credentials: true })). Для маршрутов Next.js API укажите Access-Control-Allow-Origin явно в ответе.

4. RLS включено, но не принудительно

   Symptom: active baas.supabase-rls сообщает, что роль анона может писать в общедоступную таблицу, даже если RLS включена на панели управления. Cause: ENABLE без FORCE оставляет владельца таблицы освобожденным — и миграция выполняется от имени владельца. Fix: добавьте alter table public.items force row level security; к миграции. Повторное развертывание.

5. Неподписанные IDOR-проходимые идентификаторы

   Symptom: active.idor-walking сообщает, что анонимный пользователь может читать /api/items/1, /api/items/2, ... среди арендаторов. Cause: обработчик API доверяет параметру пути и запрашивает Postgres без предиката владения. Fix: добавляйте .eq('user_id', user.id) в каждый запрос на чтение или переходите к подписанным URL-адресам/UUID, указанным в области /api/users/[uid]/items/[id].

Цикл безопасности с помощью vibe-кода

Целью не является идеальная безопасность; это устраняет низко висящие плоды, которые инструменты AI постоянно упускают из виду, поэтому вы можете продолжать доставку быстро.

1. Generate fast — используйте Cursor, Claude Code, Lovable, Bolt. В этом вся суть.
2. Audit immediately — запустите указанный выше набор grep, проверьте RLS, проверьте CSP, просмотрите границу аутентификации.
3. Harden at deploy — промежуточное программное обеспечение, разделение среды, CSP nonce, HSTS, проверка подлинности только на сервере.
4. Monitor — FixVibe пассивно ежедневно, активно еженедельно на проверенном домене, вебхуки на Slack, обнаружение угроз на Unlimited.
5. Fix fast — use FixVibe coding-agent prompts for code/config findings and operator steps for DNS, provider, secret-rotation, or manual-review findings. Re-deploy, re-scan, close the loop.

Следующие шаги

Концептуальную основу по сравнению DAST и SAST и почему приложениям, созданным AI-, необходимо собственное сканирование, читайте в AI-generated code security scanning. Краткую справку по аудиту перед отправкой см. в vibe coding security checklist.