Vibe Coding: Тисячі вразливостей безпеки даних

Висновки RedAccess

У дослідженні, вперше наданому Wired, команда під керівництвом дослідника безпеки Дора Цві ідентифікувала 5000 веб-додатків, створених за допомогою vibe coding. Ці додатки були розроблені з використанням інструментів ШІ, таких як Lovable, Replit, Base44 та Netlify. Згідно з RedAccess, ці додатки мали «практично нульову безпеку або автентифікацію будь-якого роду».

У деяких випадках будь-хто, хто знав правильну веб-адресу, міг отримати доступ до додатків та їхніх даних. Інші додатки мали «лише тривіальні бар'єри» для доступу до даних, наприклад, вхід за допомогою «будь-якої електронної пошти». Дор Цві додав, що у 40% випадків додатки розкривали конфіденційну інформацію, включаючи робочі завдання лікарень з персональними даними лікарів, презентації стратегій виходу на ринок компаній, а також дані про продажі та фінансові записи різних компаній.

Коментарі експертів

Дослідник безпеки Джоел Марголіс зазначив, що демократизація доступу до розробки додатків має свої проблеми. Він пояснив, що «хтось із маркетингової команди хоче створити веб-сайт. Вони не інженери, і, ймовірно, мають мало або зовсім не мають досвіду чи знань у сфері безпеки». Марголіс додав, що якщо ці інструменти не вимагають створення безпечних додатків, «вони не будуть докладати зусиль для цього».

Реакція компаній

Багато компаній, згаданих у дослідженні, висловили заперечення. Наприклад, Блейк Броді, представник Wix (власника Base44), повідомив Axios, що RedAccess «навмисно приховав URL-адреси, які дозволили б нам ідентифікувати та вивчити відповідні додатки». Крім того, він заявив, що додатки, які, як повідомлялося, були викриті, були «навмисно встановлені як публічні їхніми власниками». Броді також повідомив Wired, що два приклади веб-сайтів, створених Base44, які йому показали, виявилися тестовими сайтами або містили дані, згенеровані ШІ.

Тим часом, Самюта Редді, представник Lovable, повідомила Axios, що дослідження RedAccess не містило «жодних URL-адрес або технічних деталей, які дозволили б нам перевірити, розслідувати або діяти відповідно до описаних висновків», хоча компанія заявила, що розслідує інцидент.

Що це означає для розробників

Ця новина підкреслює, що додатки, створені нетехнічними користувачами за допомогою інструментів ШІ, часто мають критичні вразливості безпеки. Для розробників це означає важливість інтеграції надійних заходів безпеки в будь-який додаток та потенційну потребу в розробці інструментів ШІ, які за замовчуванням пріоритизують безпеку.

Ключові факти

Vibe coding дозволяє нетехнічним користувачам створювати додатки за допомогою ШІ.
Фірма RedAccess виявила 5000 веб-додатків, створених за допомогою vibe coding (Lovable, Replit, Base44, Netlify), які мали «практично нульову безпеку або автентифікацію».
У деяких випадках доступ до додатків та їхніх даних був можливий за правильною URL-адресою, або через «тривіальні бар'єри» (наприклад, вхід з будь-якою електронною поштою).
40% цих додатків розкривали конфіденційну інформацію, включаючи персональні дані лікарів, бізнес-стратегії та фінансові записи.
Експерти зазначають, що нетехнічні користувачі, які створюють додатки, зазвичай не мають знань у сфері безпеки.