5 правил безопасности, которые нужно знать перед вайб-кодингом

Термин «вайб-кодинг» распространился в мире технологий в начале прошлого года после того, как сооснователь OpenAI Андрей Карпати рассказал о том, как генерировал код, просто общаясь с ИИ-моделью и почти не задумываясь о самом коде. «Я просто смотрю на то, что получается, говорю, что нужно сделать, запускаю и копирую-вставляю — и в основном всё работает», — написал он в посте в X, который и дал начало этому термину.

В технологической отрасли вайб-кодинг стал новой нормой. Это мощный способ работать быстрее и с меньшими затратами ресурсов, однако создание с помощью ИИ кода, которого вы не до конца понимаете или не проверили, может представлять серьёзную угрозу безопасности для вас, ваших устройств и всех, кто пользуется вашим приложением. Компания Apiiro, специализирующаяся на кибербезопасности приложений с ИИ, сообщает, что изучила компании из списка Fortune 50 и выяснила: вайб-кодинг повышает продуктивность инженеров в четыре раза, но при этом число проблем безопасности увеличивается в десять раз. Поэтому не занимайтесь вайб-кодингом, не соблюдая эти основные правила безопасности.

Относитесь к ИИ-модели как к ленивому джинну. Многие ИИ-модели ищут короткие пути, чтобы формально выполнить ваш запрос, но при этом могут не внедрить меры безопасности и не перепроверить результат. Не рассчитывайте, что ИИ сохранит конфиденциальность критически важной информации, применит лучшие практики кибербезопасности или проверит свой код на возможные уязвимости.

Как можно подробнее опишите, что вам нужно: укажите требования к конфиденциальности, ограничения на доступ к разным частям создаваемого проекта, а также другие необходимые меры защиты, например шифрование. Можно также попросить ИИ сверяться со списком OWASP наиболее опасных уязвимостей, чтобы избежать проблем ещё до написания кода.

Большинство ИИ-моделей позволяют создавать постоянные правила или файлы с контекстом, поэтому не придётся повторять одни и те же инструкции при каждом новом сеансе работы. Создайте файл Markdown (файл .md) для любой ИИ-модели или добавьте нужную информацию в раздел «Knowledge» агента Lovable либо в раздел «Memory», если пользуетесь Replit. Файлы Markdown с инструкциями по безопасности полезны тем, что ИИ будет учитывать их при каждом запросе или задании. А перед началом работы выбирайте инструменты для вайб-кодинга с поддержкой журналов аудита — так будет проще отслеживать все изменения в проекте.

Никогда не вставляйте ключи API или пароли прямо в запрос к ИИ. Такие конфиденциальные данные не должны появляться и в коде: если позже вы загрузите его на Github, вся эта важная информация станет доступна кому угодно. Ограничение доступа ИИ-инструмента к данным также помогает предотвратить атаки с внедрением промптов.

Вместо этого храните конфиденциальные данные в специальном менеджере паролей, а в Replit, Lovable или Vercel используйте вкладки «переменные окружения» или «секреты». Для абсолютных новичков это самый простой и надёжный способ.

Если в используемом вами ИИ-инструменте такой функции нет, создайте для этих данных серверный файл переменных окружения .env и убедитесь, что он ни на одном этапе работы не станет общедоступным. Для этого добавьте его в файл .gitignore и проверьте, что он никогда не отображается в пользовательской части приложения или сайта.

Проверить, всё ли сделано правильно, можно с помощью TruffleHog — этот инструмент проверит код и поможет убедиться, что вы случайно не раскрыли конфиденциальные данные.

Если вы создаёте приложение, которому предстоит обрабатывать большие объёмы данных, для этого может использоваться язык структурированных запросов SQL. Например, потребительские приложения вроде Spotify используют SQL для оптимизации производительности при передаче данных пользователям. Уязвимости в базах данных SQL могут привести к атакам с внедрением SQL-кода: хакеры смогут украсть или удалить данные и заменить их чем угодно.

Попросите ИИ использовать параметризованные запросы, очищать входные данные, применять Server Actions для критически важных операций, включить безопасность на уровне строк (RLS) и при необходимости создать соответствующие политики RLS. Всё это усложняет эксплуатацию уязвимостей в коде и помогает защитить данные приложения.

Также рекомендуется убедиться, что ИИ использует последние версии существующих библиотек. ИИ может выдумать несуществующие пакеты или случайно выбрать вредоносный пакет, поэтому за этим тоже нужно следить.

Если вы слышали о DDoS-атаках, то знаете, что ограничение частоты запросов — один из способов защитить приложение от подобных атак. Оно ограничивает количество раз, когда пользователь (или бот) может выполнить определённое действие.

Ограничение числа попыток ввода пароля помогает предотвратить атаки методом перебора и подстановки учётных данных. Степень ограничения зависит от того, для чего предназначено ваше вайб-приложение. Если это бесплатное приложение, например чат-бот службы поддержки, ограничение запросов может уберечь вас от больших расходов, ограничив число токенов, которые каждый пользователь может расходовать за день. Если возможно, сначала ограничивайте запросы по идентификатору аккаунта, а затем — по IP-адресу. Так хакерам будет сложнее рассылать спам, а ограничения не получится обойти с помощью VPN.

Проверка по электронной почте или номеру телефона, а также CAPTCHA — другие полезные меры, которые можно добавить в приложение, чтобы предотвратить нежелательную активность.

Если у вас нет возможности попросить профессионального разработчика проверить проект, созданный с помощью вайб-кодинга, попросите ИИ самостоятельно оценить свою работу на наличие уязвимостей. В том числе попросите его проверить проект на соответствие десяти основным рискам OWASP, даже если вы уже просили его сделать это раньше. Затем попросите другие ИИ-модели поискать возможные проблемы.

Оценить проекты, созданные с помощью вайб-кодинга, также помогут различные инструменты, включая Claude Code Security, Codex Security, Wingman от Stackhawk, CheckVibe, SafeToShip и Vibe App Scanner. Но исправление ошибок не заканчивается после запуска проекта, поэтому для безопасности нужно и дальше следить за своим приложением или сайтом, созданным с помощью вайб-кодинга.