Вайб кодинг аюулгүй юу? Жинхэнэ эрсдэл, нийтлэхээс өмнө юуг шалгах вэ

Вайб кодинг нь хувийн хэрэгсэл болон прототипт аюулгүй, жинхэнэ хэрэглэгчтэй жинхэнэ аппын хувьд ч аюулгүй байж болно — гэвч "зүгээр л тайлбарлаад, ажиллаж байгаа эсэхийг хар" гэдэг арга алгасдаг шалгалтуудыг нэмсэн тохиолдолд л. Аюултай асуудлууд дэлгэцээс харагддаггүй: бие биеийнхээ өгөгдөлд хандаж чаддаг хэрэглэгчид, хөтөч дээр байгаа нууц түлхүүрүүд, хязгаарлалтгүй нийтийн маягтууд. Энэ гарын авлага нь жинхэнэ асуудал үүсгэдэг эрсдэлүүд, нууц мэдээллийг хэрхэн зохицуулах, ямар хэмжээний шалгалт хэрэгтэйг, мөн нийтлэхээс өмнө хийх 30 минутын шалгалтыг тайлбарлана.

Техникийн бүрэн жагсаалтыг AI-аар бүтээсэн аппын аюулгүй байдлын хяналтын жагсаалт-аас үзнэ үү. Энэ хуудас нь код уншдаггүй хүмүүст зориулсан богино, практик хувилбар юм.

Вайб кодинг яагаад өөрийн эрсдэлтэй вэ

Вайб кодингийн үед та аппыг ашигласнаараа үнэлдэг. Энэ нь эвдэрсэн товч, муухай зохион байгуулалтыг илрүүлдэг. Харин бусад хүн, бот, сониуч хэрэглэгч таны адил биш харин өөрөөр ашиглах үед л гарч ирэх асуудлыг илрүүлдэггүй — жишээ нь вэбийн хаягийг засах.

AI загварууд үнэмшилтэй код бичдэг, ихэнх нь зүгээр. Гэвч тэд таны асуусан зүйлийг — "миний төслүүдийг харуулсан самбар хий" — оновчилдог бөгөөд таны асуугаагүй хамгаалалтыг — "бусдынхыг биш" — нэмэхгүй байж болно. Засах арга нь вайб кодингыг зогсоох биш, хамгаалалтуудыг тодорхой гуйж, дараа нь шалгах явдал юм.

Таны апп хэр эрсдэлтэй вэ? Хурдан хэмжүүр

Та аль мөрөнд байгаагаа үнэн зөв хар. Олон апп эхэндээ нэгдүгээр мөрөнд эхэлж, хэн ч шийдвэл гурав дахь мөр рүү шилжиж байдаг.

Жинхэнэ асуудал үүсгэдэг эрсдэлүүд

1. Хэрэглэгчид бие биеийнхээ өгөгдлийг харж чадна

Энэ нь AI-аар бүтээсэн аппуудын хамгийн түгээмэл, ноцтой асуудал юм. Хуудас хэрэглэгч бүрт зөвхөн өөрийн бичлэгийг харуулдаг тул зөв харагддаг. Гэвч хэн нэгэн хаягийн мөр эсвэл хүсэлт дэх ID-г солиход сервер ямар ч бичлэгийг буцаан өгч болно. Та үргэлж өөрөөрөө туршдаг тул үүнийг хэзээ ч харж чадахгүй.

Хэрхэн шалгах вэ: хоёр бүртгэл үүсгэ. А хэрэглэгчээр нэвтэрч, А-гийн нэг бичлэгийг нээгээд хаягийг нь тэмдэглэ. Нууц цонхонд Б хэрэглэгчээр нэвтэрч, тэр хаягийг буулгана. Та "олдсонгүй" гэж харах ёстой, А-гийн өгөгдлийг хэзээ ч бус.

Промпт:

Хэрэглэгчийн өгөгдлийг уншдаг, өөрчилдөг, устгадаг сервер дээрх бүх endpoint-ийг шалга. Тус бүр нэвтэрсэн хэрэглэгч тухайн тодорхой бичлэгт хандах эрхтэйг баталгаажуулах ёстой. Endpoint бүрийг жагсааж, хэрхэн шалгаж байгааг тайлбарлаад, шалгадаггүйг нь засаарай.

2. Нууц мэдээлэл буруу газарт байх

Нууц мэдээлэл гэдэг бол хандалт олгодог бүх зүйл: AI эсвэл имэйлийн үйлчилгээний API түлхүүр, өгөгдлийн сангийн нууц үг, төлбөрийн үйлчилгээний нууц түлхүүр. Хэрэв энэ нь хөтөч дээр ажилладаг кодонд байвал хэн ч devtools нээж хуулж авч чадна. Нийтийн репозиторид орсон бол ботууд хэдхэн цагт олдог.

Хэрхэн шалгах вэ: AI-аас асуу.

Энэ аппын ашигладаг API түлхүүр, токен, нууц үг бүрийг жагсаа. Тус бүрийг хаана хадгалдаг, хөтөч рүү илгээгддэг эсэхийг хэл. Кодонд эсвэл фронтенд байгаа аль ч нууцыг серверийн талын нууц руу шилжүүл.

3. Хязгаарлалтгүй нийтийн маягт, endpoint

Холбоо барих маягт, бүртгэл, AI функцүүдийг ботууд олдог. Хязгаарлалтгүй бол спам, хуурамч бүртгэл, эсвэл AI API мянга мянган удаа дуудагдсанаас үүдсэн том тооцоо гарч ирнэ.

Промпт:

Бүртгүүлэх, нэвтрэх, холбоо барих маяг болон AI үйлчилгээг дуудах бүх endpoint дээр хурдны хязгаар нэм. Нийтийн маягтуудад honeypot талбар нэм. Сонгосон хязгаараа надад хэл.

4. Хөтөчид итгэх

Хөтөч дээр шийдэгдсэн аливаа зүйлийг хэрэглэгч өөрчилж болно: үнэ, хөнгөлөлт, асуулгын хариулт, "админ мөн үү" тэмдэг. Чухал дүрмүүд заавал серверт хэрэгжих ёстой.

Промпт:

Хөтөч шийдэх ёстой зүйлийг олж үз, жишээ нь серверт хамаарах үнэ, нийт дүн, эрх, үүрэг, оноо. Эдгээр шалгалтыг серверт шилжүүл.

5. Буцах зам байхгүй

Буруу өөрчлөлт эсвэл муу хүн өгөгдлийг устгаж болно. Хэрэв нөөц хуулбар, буцаах арга байхгүй бол жижиг алдаа байнгын алдаа болдог. Хэрэгсэлдээ кодын checkpoint, өгөгдлийн сангийн нөөц хуулбар байгаа эсэхийг шалга. Харна уу: аппынхаа өгөгдлийн сангийн нөөц хуулбар хэрхэн авах вэ.

Нууц мэдээллийг зөв зохицуулах нь

Нууц мэдээлэл бусдаас илүү зайлшгүй бус хохирол учруулдаг тул дүрмүүдийг нэг дор өгье:

• Чатад жинхэнэ түлхүүр бүү буулга. Чатууд хадгалагддаг, хуваалцагддаг, дэлгэцийн зураг авагддаг. Оронд нь түлхүүрээ хэрэгслийнхээ нууц мэдээлэл эсвэл орчны хувьсагчид хийгээрэй. (Орчны хувьсагч ба нууц мэдээлэл гэж юу вэ.)
• Төлбөртэй үйлчилгээг серверээс дуудаа. Хөтөч серверээс асууна; сервер түлхүүрээ ашиглан AI эсвэл төлбөрийн үйлчилгээг дуудна.
• Туршилт ба жинхэнэ ашиглалтад өөр түлхүүр ашигла, ингэснээр алдагдсан туршилтын түлхүүр жинхэнэ мөнгөнд хүрч чадахгүй.
• Зарцуулалтын хязгаар тогтоо AI болон имэйлийн үйлчилгээ үзүүлэгчийн хяналтын самбарт.
• Түлхүүр алдагдсан гэж бодвол шууд солио. Шинэ түлхүүр үүсгэ, нууц мэдээллээ шинэчил, дараа нь хуучныг устга.

Mythex дээр нууц мэдээлэл кодоос гадуур төслийн тохиргоонд хадгалагддаг бөгөөд агент утгыг чатад харуулалгүйгээр ашиглаж чадна. API түлхүүрээ аюулгүй байлгах гарын авлагад илүү олон үйлчилгээ үзүүлэгчийг тайлбарласан.

Танд хэр их кодын шалгалт хэрэгтэй вэ?

Вайб кодинг гэдэг бол код бүрийг уншдаггүй гэсэн үг. Та бүгдийг нь унших шаардлагагүй. Харин зарим мөрийг хэн нэгэн заавал харах ёстой.

• Хувийн хэрэгсэл: энд дурдсан шалгалтаас өөр зүйл хэрэггүй.
• Хэрэглэгчийн бүртгэлтэй апп: нэвтрэлт, өгөгдлийн хандалт хэрхэн ажилладагийг шалга. AI-аас энгийн үгээр тайлбарлуулж, таны хүлээж байгаатай таарч байгааг шалгаж болно.
• Төлбөр эсвэл нууц мэдээлэлтэй апп: программист нэвтрэлт, эрх, төлбөр боловсруулалт, хувийн мэдээлэл хадгалдаг аливаа хэсгийг харах ёстой. Энэ нь өөрчлөлт биш харин хэдхэн цагийн ажил.

Программистгүй ч ашиглаж болох ашигтай промпт:

Энэ апп хэрэглэгчийг хэн болохыг, түүнд юу харуулахыг хэрхэн шийддэгийг энгийн үгээр тайлбарла. Файлуудыг заа. Дараа нь аюулгүй байдлын шинжээч юуг шалгах ёстойг жагсаа.

AI-аар бичсэн кодыг хэрхэн шалгах вэ гэдгийг AI-ийн кодыг хэрхэн шалгах вэ гарын авлага тайлбарласан бөгөөд шалгалт хийх хүнд өгч болно. Хэрэв таны хэрэгсэл кодыг экспортлох эсвэл GitHub-тай синк хийх боломжтой бол ийм шалгалт зохион байгуулахад хялбар; Mythex дээр хоёулаа Pro-ийн нэг хэсэг.

Нийтлэхээсээ өмнөх 30 минутын шалгалт

Холбоосыг тойргийнхоо гадна хэн нэгэнтэй хуваалцахаасаа өмнө энийг хийгээрэй.

Хандалт (10 минут)

1. Хоёр бүртгэл, хоёр хөтөч: B хүн URL-ээр A-гийн бичлэгийг нээж чадах уу? Чадах ёсгүй.
2. Гарч, хуудас бүрийн хаягийг шууд нээ. Хувийн хуудсууд таныг нэвтрэх хуудас руу шилжүүлэх ёстой.
3. Энгийн хэрэглэгчээр админ хаягуудыг нээ. Тэд татгалзах ёстой.

Нууц мэдээлэл (5 минут)

1. Дээрх промптоор AI-аас түлхүүр бүр хаана байгааг асуу.
2. Аппаа нээж, хуудасны эх кодыг харж "key", "secret", "token" гэж хай.

Маягт ба урвуулан ашиглалт (5 минут)

1. Маягт бүрийг хоосон, маш урт текстээр, мөн хурдан дараалан хоёр удаа илгээ.
2. Бүртгүүлэх, нэвтрэх болон AI функц бүр дээр хурдны хязгаар байгааг баталгаажуул.

Өгөгдөл ба сэргээлт (5 минут)

1. Өгөгдөл хаана байрлаж байгаа, хэрхэн сэргээхээ мэд.
2. Кодоо өмнөх ажиллаж байсан хувилбар руу буцааж чадахаа шалга.

Хууль эрх зүй ба үндэс (5 минут)

1. Хэрэв хувийн мэдээлэл цуглуулж байгаа бол нууцлалын бодлого нэм, юу цуглуулж байгаагаа хэл. Харна уу: үйлчилгээний нөхцөл ба нууцлалын бодлого хэрхэн бичих вэ.
2. Нийтлэгдсэн апп HTTPS ашигладаг эсэхийг шалга. Ихэнх бүтээгч, Mythex-ийг оруулаад, үүнийг танд зохицуулдаг.

Хэрэв бүгд тэнцсэн бол эхний нээлтэд сайн бэлтгэгдсэн байна. Нэвтрэлт, үүрэг, өгөгдөлд ямар нэг том өөрчлөлт хийсний дараа 1–5-р алхмыг дахин хий.

Вайб кодингийн платформууд юуг хамгаалдаг, юуг хамгаалдаггүй вэ

Сайн платформ дэд бүтцийн ихэнхийг зохицуулдаг: HTTPS, тусгаарлагдсан ажлын орон зай, төсөл бүрт өгөгдлийн сан, нууц мэдээллийн хадгалалт, нөөц хуулбар, буцаалт. Mythex нь төсөл бүрт өөрийн хувийн ажлын орон зай, өгөгдлийн сантай байлгаж, нууц мэдээллийг кодоос гадуур байлгаж, амжилттай өөрчлөлт бүрийн дараа checkpoint хадгалдаг тул та үүнийг буцаах боломжтой.

Гэхдээ аль ч платформ таны аппын дүрмийг мэдэх боломжгүй. Зөвхөн та мэднэ: үйлчлүүлэгчид бие биенийхээ нэхэмжлэхийг харах ёсгүй, эсвэл купон нэг удаа ажиллах ёстой гэдгийг. Эдгээр дүрмүүд таны промптод байх ёстой бөгөөд тестээр батлагдах ёстой.

Товч хариулт

Вайб кодинг таны нэмсэн шалгалтуудын хэмжээгээр аюулгүй байна. Хувийн хэрэгсэлд түлхүүрээ кодоос гадуур байлгаад баярлаарай. Бусдын өгөгдөл байгаа аливаа зүйлд запуск бүрийн өмнө дээрх 30 минутын шалгалтыг хий, төлбөр ба нууц мэдээллийн талаар программистын харцыг авах. Эдгээр эрсдэлийг бодит төслүүд дээр харахыг хүсвэл вайб кодингийн жишээнүүд-ийг уншаарай; эдгээр шалгалтуудтай эхнээс нь бүтээхийг хүсвэл вайб кодингоор апп хэрхэн бүтээх вэ-г дага.

Асуултууд