Este vibe coding sigur? Riscurile reale și ce să verificați înainte de publicare

Vibe coding este sigur pentru instrumente personale și prototipuri și poate fi sigur și pentru aplicații reale cu utilizatori reali, dar doar dacă adăugați verificările pe care „descrie-o și vezi dacă merge” le sare. Problemele periculoase nu se văd de pe ecran: utilizatori care pot deschide datele altora, chei secrete care stau în browser și formulare publice fără limite. Acest ghid explică riscurile care chiar creează probleme, cum se tratează secretele, cât de multă verificare aveți nevoie și o verificare de 30 de minute de rulat înainte de publicare.

Pentru lista tehnică completă, vedeți lista noastră de verificare de securitate pentru aplicațiile construite cu AI. Această pagină este versiunea scurtă și practică, pentru oamenii care nu citesc cod.

De ce vibe coding are riscuri proprii

Când faceți vibe coding, judecați aplicația folosind-o. Asta prinde butoanele care nu funcționează și machetele urâte. Nu prinde problemele care apar doar când cineva folosește aplicația altfel decât dumneavoastră: un străin, un bot, un utilizator curios care editează o adresă web.

Modelele AI scriu cod plauzibil, iar cea mai mare parte este în regulă. Dar ele optimizează pentru ce ați cerut — „fă panoul să arate proiectele mele” — și pot să nu adauge protecția pe care nu ați cerut-o — „și nu ale altora”. Soluția nu este să renunțați la vibe coding. Este să cereți explicit protecțiile și apoi să le testați.

Cât de riscantă este aplicația dumneavoastră? O scară rapidă

Fiți sinceri cu privire la rândul în care vă aflați. Multe aplicații pornesc în primul rând și ajung în al treilea fără ca cineva să fi decis asta.

Riscurile care creează, de fapt, probleme

1. Utilizatorii pot vedea datele altora

Aceasta este cea mai frecventă problemă serioasă la aplicațiile construite cu AI. Pagina arată fiecărui utilizator doar înregistrările lui, deci pare corect. Dar serverul va întoarce orice înregistrare dacă cineva schimbă ID-ul din bara de adrese sau dintr-o cerere. Pentru că testați întotdeauna ca dumneavoastră, nu vedeți niciodată asta.

Cum verificați: creați două conturi. Autentificați-vă ca utilizatorul A, deschideți una dintre înregistrările lui A și notați adresa. Autentificați-vă ca utilizatorul B într-o fereastră privată și lipiți adresa aceea. Ar trebui să vedeți „nu a fost găsit”, niciodată datele lui A.

Prompt:

Verifică fiecare endpoint de pe server care citește, modifică sau șterge date ale utilizatorilor. Fiecare trebuie să confirme că utilizatorul autentificat are voie să acceseze acea înregistrare specifică. Listează endpoint-urile, spune cum verifică fiecare și corectează-le pe cele care nu verifică.

2. Secrete în locul greșit

Un secret este orice lucru care acordă acces: o cheie API pentru un serviciu de AI sau de e-mail, o parolă de bază de date, cheia secretă a unui furnizor de plăți. Dacă este în cod care rulează în browser, oricine poate deschide instrumentele pentru dezvoltatori și o poate copia. Dacă este trimisă într-un depozit public, boții o găsesc în câteva ore.

Cum verificați: întrebați AI-ul.

Listează fiecare cheie API, token și parolă folosite de această aplicație. Pentru fiecare, spune-mi unde este stocată și dacă ajunge vreodată în browser. Mută în secretele de pe server pe cele care sunt în cod sau în partea de frontend.

3. Formulare și endpoint-uri publice fără limite

Formularele de contact, înscrierile și funcțiile AI sunt găsite de boți. Fără limite, primiți spam, conturi false sau o factură mare de la un API AI apelat de mii de ori.

Prompt:

Adaugă limite de rată pentru înscriere, autentificare, formularul de contact și fiecare endpoint care apelează un serviciu AI. Adaugă un câmp-capcană (honeypot) la formularele publice. Spune-mi ce limite ai ales.

4. Încrederea în browser

Tot ce decide browserul poate fi schimbat de utilizator: prețuri, reduceri, răspunsuri la un test, indicatoare de „admin”. Regulile care contează trebuie aplicate pe server.

Prompt:

Găsește orice loc în care browserul decide ceva ce ar trebui să decidă serverul: prețuri, totaluri, permisiuni, roluri, scoruri. Mută aceste verificări pe server.

5. Fără cale de întoarcere

O modificare greșită sau un utilizator rău intenționat poate șterge date. Dacă nu există nicio copie de rezervă și nicio cale de a da înapoi, o greșeală mică devine una permanentă. Asigurați-vă că instrumentul are puncte de control pentru cod și copii de rezervă pentru baza de date. Vedeți cum să faceți o copie de rezervă a bazei de date a aplicației.

Cum tratați secretele corect

Secretele provoacă mai multe daune evitabile decât orice altceva, deci regulile sunt aici, într-un singur loc:

• Nu lipiți niciodată o cheie reală în chat. Conversațiile sunt stocate, partajate și pot fi făcute capturi de ecran. Puneți cheile în secretele sau variabilele de mediu ale instrumentului. (Ce sunt variabilele de mediu și secretele.)
• Apelați serviciile plătite de pe server. Browserul cere serverului; serverul apelează serviciul AI sau de plăți cu cheia.
• Folosiți chei separate pentru test și pentru utilizare reală, ca o cheie de test scursă să nu atingă banii reali.
• Setați limite de cheltuieli în panourile furnizorilor de AI și de e-mail.
• Rotiți o cheie imediat dacă bănuiți că a fost scursă. Creați una nouă, actualizați secretul, apoi ștergeți cheia veche.

La Mythex, secretele stau în setările proiectului, în afara codului, iar agentul le poate folosi fără ca valorile să apară în chat. Ghidul nostru despre cum păstrați în siguranță cheile API acoperă mai mulți furnizori.

De câtă verificare a codului aveți nevoie?

Vibe coding înseamnă că nu citiți fiecare linie. Nu trebuie să o faceți. Dar pentru unele linii, ar trebui să se uite cineva.

• Instrumente personale: nimic în plus față de verificările de aici.
• Aplicații cu conturi de utilizator: verificați cum funcționează autentificarea și accesul la date. Puteți face asta cerând AI-ului să explice în cuvinte simple și verificând că explicația se potrivește cu ce vă așteptați.
• Aplicații cu plăți sau date sensibile: cereți unui dezvoltator să se uite la autentificare, permisiuni, gestionarea plăților și orice stochează date personale. Sunt câteva ore din timpul lui, nu o rescriere.

Un prompt util chiar și fără un dezvoltator:

Explică, în cuvinte simple, cum decide această aplicație cine este un utilizator și ce are voie să vadă. Arată fișierele. Apoi listează ce ar vrea să verifice un specialist în securitate.

Ghidul nostru despre cum să verificați codul generat cu AI explică ce caută cei care fac verificarea și îl puteți da celui care o face. Dacă instrumentul vă lasă să exportați codul sau să-l sincronizați cu GitHub, organizarea verificării este ușoară; la Mythex, ambele fac parte din Pro.

Verificarea de 30 de minute înainte de publicare

Rulați aceasta înainte să trimiteți linkul cuiva din afara cercului dumneavoastră.

Acces (10 minute)

1. Două conturi, două browsere: poate B să deschidă înregistrările lui A prin URL? Nu ar trebui.
2. Deconectați-vă și vizitați direct adresa fiecărei pagini. Paginile private ar trebui să vă trimită la autentificare.
3. Ca utilizator obișnuit, deschideți adresele de administrare. Ar trebui să fie refuzate.

Secrete (5 minute)

1. Întrebați AI-ul unde se află fiecare cheie, folosind promptul de mai sus.
2. Deschideți aplicația, vedeți sursa paginii și căutați „key”, „secret” și „token”.

Formulare și abuz (5 minute)

1. Trimiteți fiecare formular gol, cu text foarte lung și de două ori în succesiune rapidă.
2. Confirmați că există limite de rată pentru înscriere, autentificare și orice funcție AI.

Date și recuperare (5 minute)

1. Știți unde se află datele și cum le restaurați.
2. Verificați că puteți da înapoi codul la o versiune anterioară care funcționa.

Juridic și elemente de bază (5 minute)

1. Dacă adunați date personale, adăugați o politică de confidențialitate și spuneți ce colectați. Vedeți cum să scrieți termenii și politica de confidențialitate.
2. Asigurați-vă că aplicația publicată folosește HTTPS. Majoritatea constructorilor, inclusiv Mythex, se ocupă de asta pentru dumneavoastră.

Dacă totul trece, sunteți pe drumul bun pentru un lansare timpurie. Repetați pașii 1–5 după orice modificare importantă a autentificării, rolurilor sau datelor.

Ce protejează și ce nu protejează platformele de vibe coding

O platformă bună se ocupă de multă infrastructură: HTTPS, spații de lucru izolate, o bază de date pentru fiecare proiect, stocarea secretelor, copii de rezervă și întoarcere la versiunea anterioară. Mythex oferă fiecărui proiect propriul spațiu de lucru privat și propria bază de date, ține secretele în afara codului și salvează un punct de control după fiecare modificare reușită, ca să o puteți anula.

Ce nu poate face nicio platformă este să cunoască regulile aplicației dumneavoastră. Doar dumneavoastră știți că clienții nu ar trebui să vadă facturile altora sau că un cupon ar trebui să funcționeze o singură dată. Aceste reguli trebuie să fie în prompturile dumneavoastră și confirmate de testele dumneavoastră.

Răspunsul scurt

Vibe coding este atât de sigur cât sunt verificările pe care le adăugați. Pentru un instrument personal, țineți cheile în afara codului și bucurați-vă de el. Pentru orice cu datele altor oameni, rulați verificarea de 30 de minute de mai sus înainte de fiecare lansare și cereți ochiului unui dezvoltator să se uite la plăți și date sensibile. Ca să vedeți aceste riscuri în proiecte reale, citiți exemplele de vibe coding ale noastre; ca să construiți cu aceste verificări de la început, urmați cum să construiți o aplicație cu vibe coding.

Întrebări