Xây dựng ứng dụng thông qua lời nhắc AI nhanh chóng, thường được gọi là "mã hóa rung cảm", có thể dẫn đến tình trạng giám sát bảo mật đáng kể nếu đầu ra được tạo không được xem xét kỹ lưỡng [S1]. Mặc dù các công cụ AI đẩy nhanh quá trình phát triển nhưng chúng có thể đề xuất các mẫu mã không an toàn hoặc khiến các nhà phát triển vô tình đưa thông tin nhạy cảm vào kho lưu trữ [S3].
###Tác động Rủi ro trước mắt nhất của mã AI chưa được kiểm tra là lộ thông tin nhạy cảm, chẳng hạn như khóa, mã thông báo hoặc thông tin xác thực cơ sở dữ liệu AI mà các mô hình AI có thể đề xuất dưới dạng giá trị mã hóa cứng [S3]. Hơn nữa, các đoạn mã do AI tạo có thể thiếu các biện pháp kiểm soát bảo mật thiết yếu, khiến các ứng dụng web có thể gặp phải các vectơ tấn công phổ biến được mô tả trong tài liệu bảo mật tiêu chuẩn [S2]. Việc bao gồm các lỗ hổng này có thể dẫn đến truy cập trái phép hoặc lộ dữ liệu nếu không được xác định trong vòng đời phát triển [S1][S3].
Nguyên nhân gốc rễ
Các công cụ hoàn thành mã AI tạo ra các đề xuất dựa trên dữ liệu đào tạo có thể chứa các mẫu không an toàn hoặc bí mật bị rò rỉ. Trong quy trình làm việc "mã hóa rung cảm", việc tập trung vào tốc độ thường dẫn đến việc các nhà phát triển chấp nhận những đề xuất này mà không xem xét kỹ lưỡng về bảo mật [S1]. Điều này dẫn đến việc bao gồm các bí mật được mã hóa cứng [S3] và có khả năng thiếu sót các tính năng bảo mật quan trọng cần thiết cho các hoạt động web an toàn [S2].
Sửa chữa bê tông
- Triển khai Quét bí mật: Sử dụng các công cụ tự động để phát hiện và ngăn chặn việc cam kết các khóa, mã thông báo và thông tin xác thực khác của API đối với kho lưu trữ [S3] của bạn.
- Bật tính năng Quét mã tự động: Tích hợp các công cụ phân tích tĩnh vào quy trình làm việc của bạn để xác định các lỗ hổng phổ biến trong mã do AI tạo trước khi triển khai [S1].
- Tuân thủ các phương pháp hay nhất về bảo mật web: Đảm bảo rằng tất cả mã, dù là do con người hay do AI tạo, đều tuân theo các nguyên tắc bảo mật đã thiết lập cho ứng dụng web [S2].
FixVibe kiểm tra nó như thế nào
FixVibe hiện bao gồm nghiên cứu này thông qua quét repo GitHub.
repo.ai-generated-secret-leakquét nguồn kho lưu trữ để tìm các khóa nhà cung cấp được mã hóa cứng, JWT vai trò dịch vụ Supabase, khóa riêng tư và các bài tập giống như bí mật có entropy cao. Bằng chứng lưu trữ các bản xem trước dòng bị che và các hàm băm bí mật, không phải các bí mật thô.code.vibe-coding-security-risks-backfillkiểm tra xem kho lưu trữ có các rào cản bảo mật xung quanh sự phát triển được hỗ trợ bởi AI hay không: quét mã, quét bí mật, tự động hóa phụ thuộc và hướng dẫn tác nhân AI.- Các hoạt động kiểm tra ứng dụng đã triển khai hiện tại vẫn bao gồm các bí mật đã được tiếp cận với người dùng, bao gồm rò rỉ gói JavaScript, mã thông báo bộ nhớ trình duyệt và bản đồ nguồn bị lộ.
Cùng với nhau, những lần kiểm tra này sẽ tách biệt bằng chứng bí mật đã cam kết cụ thể khỏi những khoảng trống rộng hơn trong quy trình làm việc.