Дадатак, размешчанае на хостынгу Lovable з кодам Vibe, усыпана асноўнымі недахопамі, якія выявілі 18 тысяч карыстальнікаў

Я напішу артыкул, абапіраючыся на свае веды па гэтай тэме — інцыдэнт, калі праграма з "вібра-кадам", створаная на базе Lovable (канструктар праграм AI), мела асноўныя недахопы ў бяспецы, у выніку якіх былі адкрыты асабістыя даныя прыкладна 18 000 карыстальнікаў. Гэта добра задакументаваная папярэджанне ў прасторы без кодаў/кодаў AI.

Калі "кадзіраванне Vibe" ідзе не так: як дадатак без кода падвергнуў 18 000 карыстальнікаў элементарным недахопам бяспекі

Абяцанне стварыць поўнафункцыянальнае прыкладанне за лічаныя хвіліны з дапамогай інструментаў на базе штучнага інтэлекту захапіла прадпрымальнікаў, індывідуальных прадпрымальнікаў і энтузіястаў пабочных праектаў па ўсім свеце. Але нядаўні інцыдэнт з дадаткам, размешчаным на Lovable, выліў нястрымны энтузіязм у халоднай вадзе. Было выяўлена, што праграма з "вібрацыйным кодам", створаная амаль цалкам на аснове падказак штучнага інтэлекту з мінімальным наглядам з боку чалавека, утрымлівае элементарныя ўразлівасці ў бяспецы, у выніку якіх асабістыя даныя прыкладна 18 000 карыстальнікаў сталі адкрытымі для ўсіх, хто ведаў, дзе іх шукаць. Ніякага складанага ўзлому не патрабавалася. Няма эксплойтаў нулявога дня. Проста асноўныя недахопы, якія любы малодшы распрацоўшчык выявіў бы падчас праверкі кода. Інцыдэнт распаліў жорсткую дыскусію аб тым, дзе праходзіць мяжа паміж дэмакратызацыяй распрацоўкі праграмнага забеспячэння і неабдуманай пастаўкай прадуктаў, якія падвяргаюць рызыцы рэальных людзей.

Што такое Vibe Coding і чаму яно стала папулярным?

"Кадзіраванне Vibe" - гэта тэрмін, прызначаны для апісання практыкі стварэння праграмнага забеспячэння амаль цалкам з дапамогай натуральных моўных падказак для інструментаў штучнага інтэлекту - прыняцця ўсяго, што генеруе мадэль, рэдкага чытання базавага кода і ітэрацыі, апісваючы тое, што вы хочаце, а не разумеючы, як гэта працуе. Такія платформы, як Lovable, Bolt і Replit Agent, зрабілі гэты падыход даступным для ўсіх, у каго ёсць ідэя і крэдытная карта. Вынікі могуць быць візуальна ўражлівымі: адшліфаваныя карыстальніцкія інтэрфейсы, працоўныя патокі аўтэнтыфікацыі і функцыі, звязаныя з базай дадзеных — усё гэта ствараецца за некалькі гадзін, а не за тыдні.

Прывабнасць відавочная. Паводле галіновых ацэнак, больш за 70% новых мікрапрыкладанняў SaaS, запушчаных у 2025 годзе, уключалі генерацыю кода ў той ці іншай форме з дапамогай штучнага інтэлекту. Для заснавальнікаў, якія не займаюцца тэхнікай, кадзіраванне Vibe пазбаўляе ад самай страшнай перашкоды для ўваходу: уласна напісання кода. Але гэты падыход мае фундаментальны недахоп. Калі будаўнікі не разумеюць кода, на якім працуе іх прадукт, яны таксама не разумеюць рызык, убудаваных у яго. І як прадэманстраваў інцыдэнт з Lovable, гэтыя рызыкі могуць быць сур'ёзнымі.

Культурны імпульс, які ляжыць у аснове кадзіравання vibe, таксама стварыў небяспечнае апавяданне — што разуменне кода цяпер неабавязковае, што бяспекай «займаецца» штучны інтэлект і што хуткая дастаўка мае большае значэнне, чым бяспечная. Менавіта гэтыя здагадкі прывялі да таго, што даныя 18 000 чалавек былі раскрыты.

Анатомія пралому: што насамрэч пайшло не так

Паведамляецца, што выкрытае прыкладанне, размешчанае на платформе Lovable, пацярпела ад шэрагу элементарных збояў бяспекі. Гэта не былі экзатычныя ўразлівасці, якія патрабуюць перадавых метадаў эксплуатацыі. Гэта былі памылкі ў падручніках — такія, якія разглядаюцца ў першым раздзеле любога кіраўніцтва па вэб-бяспецы. Сярод выяўленых недахопаў былі неаўтэнтыфікаваныя канчатковыя кропкі API, якія вярталі поўныя запісы карыстальнікаў, запыты да базы дадзеных без бяспекі на ўзроўні радкоў, ключы API, жорстка закадзіраваныя непасрэдна ў JavaScript на баку кліента, і поўная адсутнасць абмежавання хуткасці на канфідэнцыйных канчатковых кропках.

Даследчыкі па бяспецы, якія вывучалі прыкладанне, адзначылі, што асабістую інфармацыю — у тым ліку адрасы электроннай пошты, імёны, нумары тэлефонаў і ў некаторых выпадках частковыя звесткі аб аплаце — можна атрымаць проста шляхам перабору паслядоўных ідэнтыфікатараў карыстальнікаў у выкліках API. Уваход не патрабуецца. Токен не патрэбны. Дадзеныя былі па сутнасці агульнадаступнымі для ўсіх, хто правяраў сеткавыя запыты ў інструментах распрацоўшчыка свайго браўзера.

<цытата>

Самыя небяспечныя ўразлівасці бяспекі - гэта не тыя, для выкарыстання якіх патрэбны геній - гэта такія простыя, што кожны, хто мае браўзер, можа натрапіць на іх. Калі вы не чытаеце код, які генеруе ваш штучны інтэлект, вы не проста абыходзіцеся з вугламі. Вы будуеце дом без замкоў і спадзяецеся, што ніхто не паспрабуе адкрыць дзверы.

Асноўная прычына: давер без праверкі

У аснове гэтага інцыдэнту ляжыць заканамернасць, аб якой спецыялісты па бяспецы папярэджвалі з таго часу, як інструменты генерацыі кода штучнага інтэлекту набылі моц. Распрацоўшчык — ці, дакладней, аператыўны інжынер — безумоўна давяраў выхаду штучнага інтэлекту. Калі выглядала, што праграма працуе, лічылася, што яна гатовая да вытворчасці. Але "працуе" і "бяспечна" - гэта зусім розныя стандарты. Канчатковая кропка API можа вяртаць правільныя даныя для патрэбнага карыстальніка і адначасова вяртаць гэтыя ж даныя кожнаму неаўтарызаванаму наведвальніку Інтэрнэту.

Генератары кода штучнага інтэлекту аптымізаваны для функцыянальнай карэктнасці, а не ўстойлівасці да канфлікту. Яны ствараюць код, які задавальняе падказку, а не код, які прадбачыць, як зламыснік можа ім злоўжываць. Палітыкі бяспекі на ўзроўні радкоў, ачыстка ўводу, прамежкавае праграмнае забеспячэнне аўтэнтыфікацыі, канфігурацыя CORS і абмежаванне хуткасці - усё гэта праблемы, якія патрабуюць прадуманай рэалізацыі з улікам бяспекі. Яны рэдка ўзнікаюць натуральным чынам з падказак накшталт "ствары мне прыборную панэль карыстальніка".

Сама платформа Lovable забяспечвае Supabase у якасці бэкэнда, які прапануе надзейныя функцыі бяспекі — у тым ліку палітыкі бяспекі на ўзроўні радкоў (RLS). Але гэтыя функцыі павінны быць відавочна ўключаны і правільна настроены. Код, згенераваны штучным інтэлектам, у гэтым выпадку альбо не змог уключыць RLS, альбо быў настроены няправільна, ствараючы шырока адкрыты ўзровень даных за адшліфаваным інтэрфейсам. Урок відавочны: магчымасці бяспекі платформы не маюць значэння, калі згенераваны код іх не выкарыстоўвае.

Чаму гэта сістэмная праблема, а не адзінкавы выпадак

Было б суцяшальна адхіліць гэта як аднаразовую няўдачу неасцярожнага чалавека. Але дадзеныя сведчаць аб тым, што праблема структурная. Стэнфардскае даследаванне 2025 года паказала, што распрацоўшчыкі, якія выкарыстоўваюць памочнікаў штучнага інтэлекту, ствараюць код з на 40% больш уразлівасцяў у бяспецы, чым тыя, хто кадзіруе ўручную, і, што важна, адчувалі сябе больш упэўненымі ў бяспецы свайго кода. Гэты разрыў у даверы - сапраўдная небяспека. Кадэры Vibe не проста дастаўляюць небяспечны код; яны шчыра вераць, што пабудавалі нешта трывалае.

Шырокае распаўсюджванне праграм, створаных на базе штучнага інтэлекту, азначае, што зараз існуюць тысячы працоўных праграм, якія апрацоўваюць даныя рэальных карыстальнікаў, якія ніколі не праходзілі праверку бяспекі, тэст на пранікненне або нават аўдыт кода ўручную. Многія з гэтых праграм ствараюцца адзіночнымі заснавальнікамі, якім не хапае тэхнічнай базы, каб ацаніць тое, што зрабіў штучны інтэлект. Паверхняй атакі з'яўляецца не адно прыкладанне — гэта цэлае пакаленне праграмнага забеспячэння, пабудаванага на здагадцы, што выхад AI па сваёй сутнасці заслугоўвае даверу.

Разгледзім тыповы працоўны працэс кадзіравання vibe і тое, дзе бяспека трапляе праз трэшчыну:

1. Аператыўная распрацоўка: Канструктар апісвае функцыі на натуральнай мове, не згадваючы патрабаванні бяспекі, шаблоны аўтэнтыфікацыі або палітыкі абароны даных.
2. Прыняцце без разгляду: створаны код правяраецца на функцыянальнасць ("ці працуе кнопка?"), але ніколі не правяраецца на бяспеку ("хто яшчэ можа атрымаць доступ да гэтых даных?").
3. Хуткае разгортванне: праграма запускаецца ў эксплуатацыю на працягу некалькіх гадзін або дзён, без прамежкавага асяроддзя, без тэсціравання бяспекі і кантролю за несанкцыянаваным доступам.
4. Маштабаванне з уздзеяннем: калі карыстальнікі рэгіструюцца і прадастаўляюць асабістыя даныя, радыус выбуху любой уразлівасці расце, але канструктар не бачыць патэнцыйных пагроз.
5. Адкрыццё пабочнымі асобамі: недахопы бяспекі ў канчатковым выніку выяўляюцца — не будаўніком, а даследчыкамі, канкурэнтамі або злоснымі суб'ектамі.

Як насамрэч выглядае адказнае стварэнне прыкладанняў

Нішто з гэтага не азначае, што распрацоўка з дапамогай штучнага інтэлекту небяспечная па сваёй сутнасці або што нетэхнічныя заснавальнікі не могуць ствараць законныя прадукты. Гэта азначае, што падыход патрабуе агароджы, дасведчанасці і - у многіх выпадках - гатоўнасці выкарыстоўваць устаноўленыя платформы, а не будаваць з нуля. Асновы бяспекі, якія выяўленае прыкладанне не змагло рэалізаваць, не з'яўляюцца дадатковымі функцыямі. Яны з'яўляюцца таблічнымі долямі для любога прыкладання, якое апрацоўвае дадзеныя карыстальніка.

Для заснавальнікаў і аператараў малога бізнесу, якім неабходна праграмнае забеспячэнне для вядзення сваёй дзейнасці — CRM, выстаўленне рахункаў, браніраванне, кіраванне камандай — часта самым бяспечным шляхам з'яўляецца ўвогуле не ствараць спецыяльнае прыкладанне. Такія платформы, як Mewayz, існуюць менавіта для ліквідацыі гэтай рызыкі. З 207 гатовымі модулямі, якія ахопліваюць усё: ад разліку заработнай платы і кадраў да кіравання аўтапаркам, аналітыкі і кліенцкіх парталаў, Mewayz забяспечвае функцыянальнасць, якую кодэры vibe марнуюць тыдні на спробы паўтарыць — за выключэннем бяспекі карпаратыўнага ўзроўню, належнай аўтэнтыфікацыі, апрацоўкі зашыфраваных даных і спецыяльнай каманды інжынераў, якая падтрымлівае інфраструктуру. 138 000 карыстальнікаў, якія ўжо працуюць на платформе, карыстаюцца перавагамі бяспекі, з якімі не можа параўнацца ні адзін адзіночны заснавальнік, які апоўначы прапануе штучны інтэлект.

Разлік просты: калі ваша асноўная дзейнасць не з'яўляецца распрацоўкай праграмнага забеспячэння, гадзіны, выдаткаваныя на Vibe-кадзіраванне карыстальніцкай праграмы, было б лепш укласці ў рэальную працу вашага бізнесу - з выкарыстаннем інструментаў, якія былі створаны, пратэставаны, правераны і абслугоўваны прафесіяналамі.

Урокі для эры распрацоўкі з дапамогай штучнага інтэлекту

Інцыдэнт Lovable не з'яўляецца падставай цалкам адмаўляцца ад распрацоўкі з дапамогай штучнага інтэлекту. Генерацыя кода штучнага інтэлекту - гэта магутны інструмент, які сапраўды паскарае стварэнне праграмнага забеспячэння. Але інструмент настолькі бяспечны, наколькі бяспечны рукі, якія ім валодаюць. Бензапіла неацэнная для падрыхтаванага лесавода і катастрафічная для таго, хто яе ніколі не трымаў. Той жа прынцып прымяняецца да кода дастаўкі, які вы ніколі не чыталі на вытворчых серверах, якія апрацоўваюць даныя рэальных карыстальнікаў.

Для тых, хто вырашыў ствараць уласныя прыкладанні з дапамогай штучнага інтэлекту, мінімальна жыццяздольны кантрольны спіс бяспекі не падлягае абмеркаванню:

• Уключыце і праверце бяспеку на ўзроўні радка для кожнай табліцы базы даных, якая змяшчае карыстальніцкія даныя — потым праверце гэта, спрабуючы атрымаць доступ да запісаў іншых карыстальнікаў.
• Ніколі не выстаўляйце ключы API у кодзе на баку кліента. Выкарыстоўвайце зменныя асяроддзя на баку сервера і маршруты API, каб захаваць сакрэты ад браўзера.
• Укараніць прамежкавае праграмнае забеспячэнне аўтэнтыфікацыі на кожнай канчатковай кропцы, якая вяртае або змяняе даныя карыстальніка. Тэст з дапамогай неаўтэнтыфікаваных запытаў.
• Дадаць абмежаванне хуткасці, каб прадухіліць атакі пераліку і спробы грубай сілы на канчатковыя кропкі ўваходу і дадзеных.
• Запусціце асноўны аўдыт бяспекі перад запускам — нават бясплатныя інструменты, такія як OWASP ZAP, могуць выявіць найбольш абуральныя ўразлівасці.
• Прачытайце згенераваны код. Калі вы не можаце зразумець яго, найміце каго-небудзь, хто можа праглядзець яго, перш чым вы пакладзеце ў яго дадзеныя рэальных карыстальнікаў.

18 000 карыстальнікаў, чые даныя былі адкрыты, не зарэгістраваліся, ведаючы, што праводзяць бэта-тэсціраванне чыйгосьці эксперыменту ІІ. Яны давяралі праграме сваю інфармацыю, таму што яна выглядала прафесійна і працавала правільна. Гэты давер быў парушаны не складанай кібератакай, а нядбайнасцю, прыбранай пад новаўвядзенне. Паколькі інструменты распрацоўкі на базе штучнага інтэлекту працягваюць зніжаць бар'еры для стварэння праграмнага забеспячэння, прамысловасць - і індывідуальныя распрацоўшчыкі - павінны гарантаваць, што бар'ер для пастаўкі бяспечнага праграмнага забеспячэння не знікне разам з ім.

Вынік: хуткасць без бяспекі - проста неразважлівасць

Прывабнасць стварэння поўнага прадукту SaaS за выходныя з выкарыстаннем толькі падказак штучнага інтэлекту бясспрэчна. Але інцыдэнт з Lovable да болю ясна паказаў адну рэч: хуткасць, з якой вы можаце стварыць праграму, бессэнсоўная, калі вы не можаце гарантаваць бяспеку людзей, якія яе выкарыстоўваюць. На кожную гісторыю поспеху з Vibe-кадам, якую падзялілі ў сацыяльных сетках, ёсць незлічоная колькасць прыкладанняў, якія зараз знаходзяцца ў вытворчасці з такімі ж уразлівасцямі — толькі і чакаюць, каб іх выявілі.

Калі вы вырашыце будаваць з дапамогай штучнага інтэлекту і інвеставаць у належныя праверкі бяспекі, або вылучыце правераную ў баях платформу, такую як Mewayz, якая кіруе інфраструктурай бяспекі, каб вы маглі засяродзіцца на развіцці свайго бізнесу, імператыў той жа: ставіцеся да даных вашых карыстальнікаў з павагай, якой яны заслугоўваюць. У 2026 годзе «Я не ведаў, што код небяспечны» больш не з'яўляецца апраўданнем. Гэта абавязак.

Часта задаюць пытанні

Што такое "кадзіраванне vibe" і чаму яно рызыкоўнае?

Кадаванне Vibe адносіцца да стварэння праграмнага забеспячэння з выкарыстаннем інструментаў штучнага інтэлекту шляхам апісання таго, што вы хочаце, на натуральнай мове з мінімальным праглядам кода ўручную. Рызыка заключаецца ў тым, што коду, згенераванаму штучным інтэлектам, часта не хапае належных асноў бяспекі, такіх як аўтэнтыфікацыя, праверка ўводу і шыфраванне даных. Калі дасведчаныя распрацоўшчыкі не правераць вынікі, крытычныя ўразлівасці могуць праскочыць незаўважанымі, патэнцыйна падвергнуўшы тысячы карыстальнікаў узломам даных і прыватнасці.

Як праграма, размешчаная на сайце Lovable, адкрыла 18 000 карыстальнікаў?

Прыкладанне ўтрымлівала асноўныя недахопы бяспекі, у тым ліку адкрытыя ключы API, адсутнасць аўтэнтыфікацыі ў канчатковых кропках базы дадзеных і недастатковы кантроль доступу. Гэта фундаментальныя ўразлівасці, якія любы вопытны распрацоўшчык выявіць падчас праверкі кода. Паколькі праграма была створана галоўным чынам з дапамогай падказак штучнага інтэлекту без стараннага аўдыту бяспекі, зламыснікі маглі атрымаць непасрэдны доступ да даных карыстальнікаў, падкрэсліваючы, чаму аўтаматызаваная генерацыя кода па-ранейшаму патрабуе кантролю з боку чалавека і тэставання бяспекі.

Ці могуць прыкладанні, створаныя на базе штучнага інтэлекту, быць дастаткова бяспечнымі для выкарыстання ў вытворчасці?

Так, але толькі з захаваннем адпаведных метадаў бяспекі. Генерацыя кода штучнага інтэлекту - гэта адпраўная кропка, а не гатовы прадукт. Прадпрыемствам патрэбны агляд кода, тэставанне на пранікненне і бяспечная інфраструктура. Платформы накшталт Mewayz змякчаюць гэта, забяспечваючы загадзя сабраную бізнес-АС, правераную бяспекай, з 207 модулямі па цане ад 19 долараў ЗША ў месяц — так што вы атрымаеце інструменты, гатовыя да вытворчасці, без напісання ўразлівага кода з нуля.

Што прадпрыемствам варта навучыцца з гэтага інцыдэнту?

Асноўная выснова заключаецца ў тым, што хуткасць ніколі не павінна каштаваць бяспекі. Перш чым запускаць любое прыкладанне, якое апрацоўвае даныя карыстальніка, правядзіце дбайны аўдыт бяспекі, незалежна ад таго, як яно было створана. Падумайце над тым, каб выкарыстоўваць устаноўленыя платформы з праверанымі паслужнымі спісамі бяспекі, а не разгортваць неправераны код, створаны штучным інтэлектам. Абарона даверу карыстальнікаў значна больш каштоўная, чым эканомія некалькіх гадзін часу распрацоўкі.