Ապահո՞վ է արդյոք vibe coding-ը։ Իրական ռիսկերը և ինչ ստուգել մինչև հրապարակելը

Vibe coding-ը ապահով է անձնական գործիքների և նախատիպերի համար, և կարող է ապահով լինել իրական օգտատերերով իրական հավելվածների համար, բայց միայն այն դեպքում, եթե ավելացնեք այն ստուգումները, որոնք «պարզապես նկարագրիր և տես, թե աշխատում է» մոտեցումը բաց է թողնում։ Վտանգավոր խնդիրները էկրանից չեն երևում․ օգտատերեր, որոնք կարող են բացել միմյանց տվյալները, գաղտնի բանալիներ, որոնք գտնվում են բրաուզերում, և հանրային ձևեր առանց սահմանափակումների։ Այս ուղեցույցը բացատրում է իրական խնդիրներ առաջացնող ռիսկերը, ինչպես վարվել գաղտնիքների հետ, որքան վերանայում է պետք և 30 րոպեանոց ստուգում, որը պետք է անցկացնել մինչև հրապարակելը։

Ամբողջական տեխնիկական ցուցակի համար տե՛ս մեր անվտանգության ստուգաթերթը AI-ով կառուցված հավելվածների համար-ը։ Այս էջը ավելի կարճ, գործնական տարբերակն է նրանց համար, ովքեր կոդ չեն կարդում։

Ինչու vibe coding-ն ունի իր սեփական ռիսկերը

Երբ vibe coding եք անում, հավելվածը գնահատում եք նրան օգտագործելով։ Դա բռնում է կոտրված կոճակները և տգեղ դասավորությունները։ Այն չի բռնում խնդիրները, որոնք հայտնվում են միայն այն ժամանակ, երբ մարդը օգտագործում է հավելվածը ձեզնից տարբեր ձևով․ անծանոթ մարդ, բոտ, հետաքրքրասեր օգտատեր, որը խմբագրում է վեբ հասցեն։

AI մոդելները գրում են հավանական տեսք ունեցող կոդ, և դրա մեծ մասը նորմալ է։ Բայց նրանք օպտիմիզացնում են այն, ինչ խնդրել եք՝ «ցույց տուր իմ նախագծերը դաշբորդում», և կարող են չավելացնել պաշտպանությունը, որը չեք խնդրել՝ «և ոչ ուրիշինը»։ Լուծումը vibe coding-ը դադարեցնելը չէ։ Այն է՝ բացահայտ խնդրել պաշտպանությունները և այնուհետև դրանք փորձարկել։

Որքա՞ն ռիսկային է ձեր հավելվածը։ Արագ սանդղակ

Եղեք անկեղծ՝ որ տողում եք գտնվում։ Շատ հավելվածներ սկսվում են առաջին տողից և առանց որևէ որոշման անցնում երրորդ տող։

Իրական խնդիրներ առաջացնող ռիսկերը

1. Օգտատերերը կարող են տեսնել միմյանց տվյալները

Սա AI-ով կառուցված հավելվածների ամենատարածված լուրջ խնդիրն է։ Էջը յուրաքանչյուր օգտատիրոջ ցույց է տալիս միայն նրա գրառումները, ուստի այն ճիշտ է թվում։ Բայց սերվերը կվերադարձնի ցանկացած գրառում, եթե ինչ-որ մեկը փոխի ID-ն հասցեի տողում կամ հարցումում։ Քանի որ միշտ փորձում եք որպես ինքներդ, դա երբեք չեք տեսնում։

Ինչպես ստուգել․ ստեղծեք երկու հաշիվ։ Մուտք գործեք որպես օգտատեր A, բացեք A-ի գրառումներից մեկը և նշեք հասցեն։ Մուտք գործեք որպես օգտատեր B անանուն պատուհանում և տեղադրեք այդ հասցեն։ Պետք է տեսնեք «չի գտնվել», երբեք ոչ A-ի տվյալները։

Հրահանգ՝

Ստուգեք սերվերի յուրաքանչյուր վերջնակետ, որը կարդում, փոխում կամ ջնջում է օգտատիրոջ տվյալները։ Յուրաքանչյուրը պետք է հաստատի, որ մուտք գործած օգտատերն իրավունք ունի մուտք գործելու այդ կոնկրետ գրառում։ Թվարկեք վերջնակետերը, ասեք, թե յուրաքանչյուրն ինչպես է ստուգում, և շտկեք այն, որը չի ստուգում։

2. Գաղտնիքները սխալ տեղում

Գաղտնիքն այն է, ինչը տալիս է մուտք․ AI-ի կամ էլ․ նամակի ծառայության API բանալի, տվյալների բազայի գաղտնաբառ, վճարային մատակարարի գաղտնի բանալի։ Եթե այն գտնվում է բրաուզերում աշխատող կոդում, ցանկացած մեկը կարող է բացել մշակողի գործիքները և պատճենել այն։ Եթե այն ուղարկված է հանրային պահոց, բոտերը այն գտնում են մի քանի ժամում։

Ինչպես ստուգել․ հարցրեք AI-ին։

Թվարկեք այս հավելվածի օգտագործած բոլոր API բանալիները, թոքեններն ու գաղտնաբառերը։ Յուրաքանչյուրի համար ասեք, թե որտեղ է այն պահվում և արդյոք երբևէ ուղարկվում է բրաուզեր։ Տեղափոխեք կոդում կամ front-end-ում գտնվողները սերվերային գաղտնիքների մեջ։

3. Հանրային ձևեր և վերջնակետեր առանց սահմանափակումների

Կոնտակտային ձևերը, գրանցումները և AI գործառույթները գտնվում են բոտերի կողմից։ Առանց սահմանափակումների ստանում եք սպամ, կեղծ հաշիվներ կամ մեծ հաշիվ AI API-ից, որը հազարավոր անգամ է կանչվել։

Հրահանգ՝

Ավելացրեք հարցման սահմանափակումներ գրանցման, մուտքի, կոնտակտային ձևի և յուրաքանչյուր վերջնակետի համար, որը կանչում է AI ծառայություն։ Հանրային ձևերին ավելացրեք թակարդ դաշտ (honeypot)։ Ասեք, թե որ սահմանաչափերն եք ընտրել։

4. Բրաուզերին վստահելը

Ամեն ինչ, որ որոշում է բրաուզերը, կարող է փոխվել օգտատիրոջ կողմից՝ գներ, զեղչեր, քվիզի պատասխաններ, «ադմին է» դրոշներ։ Կարևոր կանոնները պետք է կիրառվեն սերվերում։

Հրահանգ՝

Գտեք բոլոր տեղերը, որտեղ բրաուզերն է որոշում այն, ինչ պետք է որոշի սերվերը՝ գներ, գումարներ, թույլտվություններ, դերեր, միավորներ։ Տեղափոխեք այդ ստուգումները սերվեր։

5. Վերադարձի ճանապարհ չկա

Վատ փոփոխությունը կամ վատ մարդը կարող են ջնջել տվյալներ։ Եթե պահուստային պատճեն չկա և վերադառնալու ուղի չկա, փոքր սխալը դառնում է մշտական։ Համոզվեք, որ ձեր գործիքն ունի ստուգակետեր կոդի համար և պահուստներ տվյալների բազայի համար։ Տե՛ս ինչպես պահուստավորել հավելվածի տվյալների բազան։

Գաղտնիքների ճիշտ կառավարումը

Գաղտնիքները ավելի շատ խուսափելի վնաս են պատճառում, քան որևէ այլ բան, ուստի կանոնները մեկ տեղում են․

• Երբեք մի տեղադրեք իրական բանալի չաթում։ Չաթերը պահվում, կիսվում և սքրինշոթվում են։ Բանալիները դրեք ձեր գործիքի գաղտնիքներում կամ միջավայրի փոփոխականներում։ (Ինչ են միջավայրի փոփոխականներն ու գաղտնիքները։)
• Վճարովի ծառայությունները կանչեք սերվերից։ Բրաուզերը հարցնում է ձեր սերվերին, իսկ սերվերը բանալիով կանչում է AI կամ վճարային ծառայությունը։
• Օգտագործեք առանձին բանալիներ թեստավորման և իրական օգտագործման համար, որպեսզի արտահոսած թեստային բանալին չկարողանա դիպչել իրական փողին։
• Սահմանեք ծախսերի սահմանաչափեր AI և էլ․ նամակի մատակարարների վահանակներում։
• Անմիջապես փոխեք բանալին, եթե կարծում եք, որ արտահոսել է։ Ստեղծեք նորը, թարմացրեք գաղտնիքը, ապա ջնջեք հինը։

Mythex-ում գաղտնիքները գտնվում են նախագծի կարգավորումներում՝ կոդից դուրս, և գործակալը կարող է օգտագործել դրանք առանց արժեքների հայտնվելու չաթում։ Մեր API բանալիները ապահով պահելու ուղեցույցը ավելի շատ մատակարարներ է ներառում։

Որքա՞ն կոդի վերանայում է պետք

Vibe coding-ը նշանակում է, որ յուրաքանչյուր տող չեք կարդում։ Դրա կարիք չունեք։ Բայց որոշ տողերի համար ինչ-որ մեկը պետք է նայի։

• Անձնական գործիքներ․ այստեղ նշվածից այն կողմ՝ ոչինչ։
• Օգտատիրոջ հաշիվներով հավելվածներ․ վերանայեք, թե ինչպես են աշխատում մուտքը և տվյալների մուտքը։ Դա կարող եք անել՝ խնդրելով AI-ին բացատրել պարզ բառերով և ստուգելով, որ բացատրությունը համապատասխանում է ձեր սպասելիքներին։
• Վճարումներով կամ զգայուն տվյալներով հավելվածներ․ մշակողը պետք է նայի նույնականացմանը, թույլտվություններին, վճարումների մշակմանը և ցանկացած տվյալ, որը պահում է անձնական տվյալներ։ Դա մի քանի ժամ է իրենց ժամանակից, ոչ թե վերագրում։

Օգտակար հրահանգ նույնիսկ առանց մշակողի՝

Պարզ բառերով բացատրիր, թե ինչպես է այս հավելվածը որոշում, թե ով է օգտատերը և ինչ կարող է տեսնել։ Նշիր ֆայլերը։ Ապա թվարկիր այն ամենը, ինչ կցանկանայիր, որ անվտանգության փորձագետը նայեր։

Մեր ինչպես վերանայել AI-ի գեներացրած կոդը ուղեցույցը բացատրում է, թե ինչին են նայում վերանայողները, և կարող եք այն տալ նրան, ով կատարում է վերանայումը։ Եթե ձեր գործիքը թույլ է տալիս կոդն արտահանել կամ համաժամեցնել GitHub-ի հետ, այդ վերանայումը կազմակերպելը հեշտ է․ Mythex-ում երկուսն էլ Pro-ի մաս են։

30 րոպեանոց նախահրապարակային ստուգում

Այս ստուգումն անցկացրեք, նախքան հղումը կիսվեք ձեր շրջանակից դուրս գտնվող մարդկանց հետ։

Մուտք (10 րոպե)

1. Երկու հաշիվ, երկու բրաուզեր․ կարո՞ղ է B-ն բացել A-ի գրառումները URL-ով։ Չպետք է կարողանա։
2. Դուրս եկեք և ուղղակիորեն այցելեք յուրաքանչյուր էջի հասցեն։ Մասնավոր էջերը պետք է ձեզ ուղարկեն մուտքի էջ։
3. Որպես սովորական օգտատեր բացեք ադմինի հասցեները։ Դրանք պետք է մերժվեն։

Գաղտնիքներ (5 րոպե)

1. Օգտագործելով վերևի հրահանգը, հարցրեք AI-ին, թե որտեղ է գտնվում յուրաքանչյուր բանալի։
2. Բացեք հավելվածը, դիտեք էջի աղբյուրը և փնտրեք «key», «secret» և «token»։

Ձևեր և չարաշահում (5 րոպե)

1. Ուղարկեք յուրաքանչյուր ձև դատարկ, շատ երկար տեքստով և երկու անգամ արագ հաջորդականությամբ։
2. Հաստատեք, որ գրանցման, մուտքի և ցանկացած AI գործառույթի վրա կան հարցման սահմանափակումներ։

Տվյալներ և վերականգնում (5 րոպե)

1. Իմացեք, թե որտեղ են տվյալները և ինչպես վերականգնել դրանք։
2. Ստուգեք, որ կարող եք կոդը վերադարձնել նախորդ աշխատող տարբերակին։

Իրավական և հիմնական (5 րոպե)

1. Եթե հավաքում եք անձնական տվյալներ, ավելացրեք գաղտնիության քաղաքականություն և նշեք, թե ինչ եք հավաքում։ Տե՛ս ինչպես գրել օգտագործման պայմաններ և գաղտնիության քաղաքականություն։
2. Համոզվեք, որ հրապարակված հավելվածն օգտագործում է HTTPS։ Մեծամասնությունը, ներառյալ Mythex-ը, սա ձեզ համար է կարգավորում։

Եթե ամեն ինչ անցնում է, դուք լավ վիճակում եք վաղ գործարկման համար։ Կրկնեք 1–5 քայլերը մուտքի, դերերի կամ տվյալների ցանկացած մեծ փոփոխությունից հետո։

Ինչ են պաշտպանում և ինչ չեն պաշտպանում vibe coding հարթակները

Լավ հարթակը շատ ենթակառուցվածք է կարգավորում․ HTTPS, մեկուսացված աշխատանքային տարածքներ, տվյալների բազա յուրաքանչյուր նախագծի համար, գաղտնիքների պահեստ, պահուստներ և վերադարձ։ Mythex-ը յուրաքանչյուր նախագծին տալիս է իր մասնավոր աշխատանքային տարածքն ու տվյալների բազան, գաղտնիքները պահում է կոդից դուրս և յուրաքանչյուր հաջող փոփոխությունից հետո պահում ստուգակետ, որպեսզի կարողանաք այն հետ բերել։

Ոչ մի հարթակ չի կարող իմանալ ձեր հավելվածի կանոնները։ Միայն դուք գիտեք, որ հաճախորդները չպետք է տեսնեն միմյանց հաշիվները, կամ որ կուպոնը պետք է աշխատի մեկ անգամ։ Այդ կանոնները պետք է լինեն ձեր հրահանգներում և հաստատված՝ ձեր թեստերով։

Կարճ պատասխան

Vibe coding-ն այնքան ապահով է, որքան ստուգումները, որ ավելացնում եք։ Անձնական գործիքի համար պահեք բանալիները կոդից դուրս և վայելեք։ Ուրիշների տվյալներ ունեցող ցանկացած բանի համար անցկացրեք վերևի 30 րոպեանոց ստուգումը յուրաքանչյուր գործարկումից առաջ և ստացեք մշակողի աչքը վճարումների և զգայուն տվյալների վրա։ Այս ռիսկերը իրական նախագծերում տեսնելու համար կարդացեք մեր vibe coding օրինակները-ը, իսկ այս ստուգումներով սկզբից կառուցելու համար հետևեք ինչպես կառուցել հավելված vibe coding-ով-ին։

Հարցեր