«Вайб-кодування» спричиняє тисячі вразливостей у безпеці даних, – дослідження

Зростання «вайб-кодування» та його ризики

«Вайб-кодування» (vibe coding), що дозволяє користувачам без технічних навичок створювати програмні додатки за допомогою штучного інтелекту, набуло значної популярності. Це дає змогу нерозробникам створювати додатки за лічені години. Однак, кібербезпекова фірма RedAccess виявила потенційні вразливості в безпеці, пов'язані з цим підходом.

Висновки RedAccess

У дослідженні, вперше оприлюдненому Wired, команда під керівництвом дослідника безпеки Дора Цві ідентифікувала 5000 веб-додатків, створених за допомогою інструментів «вайб-кодування» на основі ШІ, таких як Lovable, Replit, Base44 та Netlify. Ці додатки «практично не мали жодної безпеки чи аутентифікації». RedAccess стверджує, що в деяких випадках будь-хто, хто знаходив правильну веб-URL-адресу, міг отримати доступ до додатків та їхніх даних. Інші додатки мали «лише тривіальні бар'єри» для доступу до даних, наприклад, вхід за допомогою «будь-якої електронної пошти».

Дор Цві додав, що у 40% випадків додатки розкривали конфіденційну інформацію. Серед виявлених даних були робочі завдання лікарень, що містили особисті дані лікарів, презентації стратегій виходу на ринок компаній, а також дані про продажі та фінансові записи різних компаній.

Перспектива експертів

Дослідник безпеки Джоел Марголіс окреслив деякі проблеми, пов'язані з демократизацією доступу до розробки додатків. Він зазначив, що «хтось із маркетингової команди хоче створити веб-сайт. Вони не інженери, і, ймовірно, мають мало або зовсім не мають досвіду чи знань у сфері безпеки». Марголіс додав, що якщо ці інструменти не просять створювати безпечні додатки, «вони не будуть докладати зусиль для цього».

Заперечення компаній

Багато компаній, згаданих у дослідженні, висловили заперечення. Наприклад, Блейк Броді, представник Wix (власника Base44), повідомив Axios, що RedAccess «навмисно приховав URL-адреси, які дозволили б нам ідентифікувати та вивчити відповідні додатки». Крім того, він заявив, що додатки, які, як повідомляється, були скомпрометовані, були «навмисно встановлені як публічні їхніми власниками». Броді також повідомив Wired, що два приклади веб-сайтів, створених за допомогою Base44, які йому показали, виявилися тестовими сайтами або містили дані, згенеровані ШІ.

Тим часом, Сам'ютха Редді, представниця Lovable, повідомила Axios, що дослідження RedAccess не містило «жодних URL-адрес або технічних деталей, які дозволили б нам перевірити, розслідувати або діяти відповідно до описаних висновків», хоча компанія заявила, що розслідує інцидент.

Що це означає для розробників

Ця новина підкреслює ризики, пов'язані зі створенням додатків нетехнічними користувачами за допомогою інструментів ШІ без належних знань про безпеку. Розробникам варто враховувати, що такі інструменти можуть генерувати код з критичними вразливостями, якщо не передбачено явних вимог до безпеки.

Ключові факти

• «Вайб-кодування» дозволяє нетехнічним користувачам створювати додатки за допомогою ШІ.

• Фірма RedAccess виявила 5000 «вайб-кодованих» веб-додатків з «практично відсутньою безпекою чи аутентифікацією».

• Додатки були створені за допомогою Lovable, Replit, Base44 та Netlify.

• Деякі додатки були доступні за правильною URL-адресою, інші мали «тривіальні бар'єри» (наприклад, вхід з будь-якою електронною поштою).

• У 40% випадків додатки розкривали конфіденційну інформацію, включаючи особисті дані лікарів, стратегії компаній та фінансові записи.

Джерела

• Vibe Coding Is Causing ‘Thousands’ of Data Security Vulnerabilities