Czy vibe coding jest bezpieczny? Prawdziwe ryzyka i co sprawdzić przed publikacją

Vibe coding jest bezpieczny dla osobistych narzędzi i prototypów, a może być bezpieczny także dla prawdziwych aplikacji z prawdziwymi użytkownikami — ale tylko wtedy, gdy dodasz sprawdzenia, które pomija podejście „opisz to i zobacz, czy działa”. Niebezpieczne problemy są niewidoczne na ekranie: użytkownicy, którzy mogą otworzyć dane innych, klucze sekretne leżące w przeglądarce i publiczne formularze bez limitów. Ten przewodnik wyjaśnia ryzyka, które naprawdę powodują kłopoty, jak obchodzić się z sekretami, ile przeglądu potrzebujesz i 30-minutowy check do wykonania przed publikacją.

Pełną listę techniczną znajdziesz w naszej liście kontrolnej bezpieczeństwa dla aplikacji zbudowanych przez AI. Ta strona to krótsza, praktyczna wersja dla osób, które nie czytają kodu.

Dlaczego vibe coding ma własne ryzyka

Kiedy tworzysz vibe codingiem, oceniasz aplikację, używając jej. To wychwytuje zepsute przyciski i brzydkie układy. Nie wychwytuje problemów, które pojawiają się tylko wtedy, gdy ktoś używa aplikacji inaczej niż Ty: obcej osoby, bota, ciekawskiego użytkownika edytującego adres strony.

Modele AI piszą wiarygodnie wyglądający kod i większość z niego jest w porządku. Optymalizują jednak pod to, o co poprosiłeś — „niech pulpit pokazuje moje projekty” — i mogą nie dodać zabezpieczenia, o które nie poprosiłeś — „i tylko moje, nie cudze”. Rozwiązaniem nie jest rezygnacja z vibe codingu, tylko wyraźne poproszenie o zabezpieczenia i ich przetestowanie.

Jak ryzykowna jest Twoja aplikacja? Szybka skala

Bądź szczery, w którym wierszu jesteś. Wiele aplikacji zaczyna w pierwszym wierszu i bez niczyjej decyzji dryfuje do trzeciego.

Ryzyka, które naprawdę powodują kłopoty

1. Użytkownicy widzą dane innych

To najczęstszy poważny problem w aplikacjach budowanych przez AI. Strona pokazuje każdemu użytkownikowi tylko jego rekordy, więc wygląda poprawnie. Ale serwer odda dowolny rekord, jeśli ktoś zmieni ID w pasku adresu albo w żądaniu. Ponieważ zawsze testujesz jako siebie, tego nie widzisz.

Jak sprawdzić: załóż dwa konta. Zaloguj się jako użytkownik A, otwórz jeden z rekordów A i zapamiętaj adres. Zaloguj się jako użytkownik B w oknie prywatnym i wklej ten adres. Powinieneś zobaczyć „nie znaleziono”, nigdy dane A.

Prompt:

Sprawdź każdy punkt końcowy serwera, który odczytuje, zmienia lub usuwa dane użytkownika. Każdy ma potwierdzać, że zalogowany użytkownik może mieć dostęp do tego konkretnego rekordu. Wypisz punkty końcowe, opisz, jak każdy z nich to sprawdza, i napraw te, które tego nie robią.

2. Sekrety w złym miejscu

Sekret to wszystko, co daje dostęp: klucz API do usługi AI lub poczty, hasło do bazy danych, sekretny klucz dostawcy płatności. Jeśli znajduje się w kodzie uruchamianym w przeglądarce, każdy może otworzyć narzędzia deweloperskie i go skopiować. Jeśli trafi do publicznego repozytorium, boty znajdą go w ciągu kilku godzin.

Jak sprawdzić: zapytaj AI.

Wypisz każdy klucz API, token i hasło, których używa ta aplikacja. Dla każdego powiedz, gdzie jest przechowywany i czy kiedykolwiek trafia do przeglądarki. Każdy, który jest w kodzie lub po stronie frontendu, przenieś do sekretów po stronie serwera.

3. Publiczne formularze i punkty końcowe bez limitów

Formularze kontaktowe, rejestracje i funkcje AI są znajdowane przez boty. Bez limitów dostajesz spam, fałszywe konta albo wysoki rachunek za wywołania API AI tysiące razy.

Prompt:

Dodaj limity szybkości do rejestracji, logowania, formularza kontaktowego i każdego punktu końcowego, który wywołuje usługę AI. Dodaj do publicznych formularzy ukryte pole pułapkę (honeypot). Napisz, jakie limity wybrałeś.

4. Ufanie przeglądarce

Każdą rzecz, którą decyduje przeglądarka, użytkownik może zmienić: ceny, rabaty, odpowiedzi w quizie, flagi „jest administratorem”. Reguły, które mają znaczenie, muszą być egzekwowane na serwerze.

Prompt:

Znajdź miejsca, w których przeglądarka decyduje o czymś, co powinien decydować serwer: ceny, sumy, uprawnienia, role, wyniki. Przenieś te sprawdzenia na serwer.

5. Brak drogi powrotu

Zła zmiana albo zła osoba mogą usunąć dane. Jeśli nie ma kopii zapasowej i możliwości cofnięcia, drobna pomyłka staje się trwała. Upewnij się, że narzędzie ma punkty kontrolne dla kodu i kopie zapasowe bazy danych. Zobacz jak wykonać kopię zapasową bazy danych aplikacji.

Jak właściwie obchodzić się z sekretami

Sekrety powodują więcej unikalnych szkód niż cokolwiek innego, więc zasady w jednym miejscu:

• Nigdy nie wklejaj prawdziwego klucza do czatu. Czaty są zapisywane, udostępniane i fotografowane. Umieść klucze w sekretach lub zmiennych środowiskowych swojego narzędzia. (Czym są zmienne środowiskowe i sekrety.)
• Wywołuj płatne usługi z serwera. Przeglądarka prosi Twój serwer; serwer wywołuje usługę AI lub płatności kluczem.
• Używaj oddzielnych kluczy do testów i do produkcji, żeby wyciekły klucz testowy nie mógł dotknąć prawdziwych pieniędzy.
• Ustaw limity wydatków w panelach dostawców AI i poczty.
• Natychmiast wymień klucz, jeśli podejrzewasz wyciek. Utwórz nowy, zaktualizuj sekret, a potem usuń stary.

W Mythex sekrety są przechowywane w ustawieniach projektu, poza kodem, a agent może z nich korzystać bez pokazywania wartości w czacie. Nasz przewodnik jak bezpiecznie przechowywać klucze API obejmuje więcej dostawców.

Ile przeglądu kodu potrzebujesz?

Vibe coding oznacza, że nie czytasz każdej linii. Nie musisz. Ale niektóre linie powinien przejrzeć ktoś inny.

• Osobiste narzędzia: nic ponad sprawdzenia z tej strony.
• Aplikacje z kontami użytkowników: przejrzyj, jak działa logowanie i dostęp do danych. Możesz to zrobić, prosząc AI o wyjaśnienie prostymi słowami i sprawdzając, czy wyjaśnienie zgadza się z Twoimi oczekiwaniami.
• Aplikacje z płatnościami lub wrażliwymi danymi: poproś programistę o przejrzenie uwierzytelniania, uprawnień, obsługi płatności i wszystkiego, co przechowuje dane osobowe. To kilka godzin jego pracy, a nie przepisywanie aplikacji.

Przydatny prompt nawet bez programisty:

Wyjaśnij prostymi słowami, jak ta aplikacja ustala, kim jest użytkownik i co wolno mu zobaczyć. Wskaż pliki. Następnie wypisz wszystko, na co powinien zwrócić uwagę recenzent bezpieczeństwa.

Nasz przewodnik jak przeglądać kod wygenerowany przez AI wyjaśnia, na co zwracają uwagę recenzenci, i możesz go przekazać osobie, która przegląd wykona. Jeśli Twoje narzędzie pozwala wyeksportować kod lub zsynchronizować go z GitHubem, zorganizowanie przeglądu jest łatwe; w Mythex obie opcje są częścią planu Pro.

30-minutowy check przed publikacją

Wykonaj go, zanim udostępnisz link komuś spoza swojego kręgu.

Dostęp (10 minut)

1. Dwa konta, dwie przeglądarki: czy użytkownik B może otworzyć rekordy użytkownika A po adresie URL? Nie powinien.
2. Wyloguj się i odwiedź bezpośrednio adres każdej strony. Prywatne strony powinny przekierować do logowania.
3. Jako zwykły użytkownik otwórz adresy administracyjne. Powinny zostać odrzucone.

Sekrety (5 minut)

1. Zapytaj AI, gdzie znajduje się każdy klucz, używając powyższego promptu.
2. Otwórz aplikację, wyświetl kod źródłowy strony i wyszukaj „key”, „secret” i „token”.

Formularze i nadużycia (5 minut)

1. Wyślij każdy formularz pusty, z bardzo długim tekstem i dwukrotnie w krótkim odstępie.
2. Potwierdź, że istnieją limity szybkości przy rejestracji, logowaniu i każdej funkcji AI.

Dane i odzyskiwanie (5 minut)

1. Wiesz, gdzie znajdują się dane i jak je przywrócić.
2. Sprawdź, czy możesz cofnąć kod do wcześniejszej, działającej wersji.

Prawo i podstawy (5 minut)

1. Jeśli zbierasz dane osobowe, dodaj politykę prywatności i napisz, co zbierasz. Zobacz jak napisać regulamin i politykę prywatności.
2. Upewnij się, że opublikowana aplikacja używa HTTPS. Większość kreatorów, w tym Mythex, robi to za Ciebie.

Jeśli wszystko przejdzie, jesteś dobrze przygotowany do wczesnego startu. Powtarzaj kroki 1–5 po każdej dużej zmianie logowania, ról lub danych.

Co platformy do vibe codingu chronią, a czego nie

Dobra platforma zajmuje się dużą częścią infrastruktury: HTTPS, odizolowanymi przestrzeniami roboczymi, bazą danych dla każdego projektu, przechowywaniem sekretów, kopiami zapasowymi i cofaniem zmian. Mythex daje każdemu projektowi własną prywatną przestrzeń roboczą i bazę danych, trzyma sekrety poza kodem i zapisuje punkt kontrolny po każdej udanej zmianie, abyś mógł ją cofnąć.

Czego żadna platforma nie zrobi, to znać reguł Twojej aplikacji. Tylko Ty wiesz, że klienci nie powinni widzieć cudzych faktur albo że kupon ma działać raz. Te reguły muszą znaleźć się w Twoich promptach i zostać potwierdzone testami.

Krótka odpowiedź

Vibe coding jest tak bezpieczny, jak sprawdzenia, które do niego dodasz. W przypadku osobistego narzędzia trzymaj klucze poza kodem i ciesz się zabawą. Przy wszystkim, co zawiera dane innych osób, wykonuj 30-minutowy check powyżej przed każdym startem, a płatności i dane wrażliwe pokaż programiście. Aby zobaczyć te ryzyka w prawdziwych projektach, przeczytaj nasze przykłady vibe codingu; aby budować z tymi sprawdzeniami od początku, przejdź przez jak zbudować aplikację z vibe codingiem.

Pytania