П’ять правил безпеки для розробки застосунків за допомогою ШІ
Поради з безпечної розробки за допомогою ШІ: захист ключів API, даних, обмеження запитів і перевірка згенерованого коду.
Під час створення коду за допомогою штучного інтелекту користувачам варто заздалегідь встановлювати вимоги до приватності, не передавати моделі паролі та ключі API й обов’язково перевіряти згенерований результат. Такі поради для початківців зібрало Engadget.
Термін vibe coding поширився після допису співзасновника OpenAI Андрея Карпаті, який описав досвід генерування коду через спілкування з ШІ без детального занурення в сам код. Видання зазначає, що використання такого коду без розуміння або перевірки може створити ризики для користувача, його пристроїв і людей, які користуватимуться застосунком.
Чіткі вимоги та захист секретів
Автори радять докладно описувати в запитах вимоги до конфіденційності, доступу до окремих частин проєкту, шифрування та інших захисних механізмів. Також можна попросити модель враховувати перелік найпоширеніших вразливостей OWASP. Для постійних правил безпеки пропонують створити Markdown-файл із настановами або скористатися функціями збереження контексту в інструментах розробки.
Паролі та ключі API не слід вставляти ані в чат із ШІ, ані безпосередньо в код. Їх рекомендують зберігати в менеджері паролів або в розділах змінних середовища чи секретів. Якщо застосунок використовує файл .env, він має бути виключений із публічного доступу, зокрема через .gitignore. Для пошуку випадково оприлюднених секретів можна застосувати TruffleHog.
Перевірка даних і обмеження запитів
Для проєктів, що працюють із базами даних SQL, видання радить вимагати від ШІ параметризації запитів, очищення введених даних, використання Server Actions для критичних операцій і політик безпеки на рівні рядків, якщо це застосовно. Окремо варто контролювати актуальність бібліотек: ШІ може вигадати неіснуючі пакети або випадково використати шкідливі.
Ще одним захисним механізмом є обмеження частоти запитів. Воно може стримувати DDoS-атаки, спроби перебору паролів і надмірне використання токенів у безкоштовних сервісах. За можливості обмеження радять застосовувати спочатку до облікового запису, а потім до IP-адреси; додатковими заходами можуть бути автентифікація через електронну пошту або телефон і CAPTCHA.
Тестування після генерації коду
Перед запуском застосунку згенерований код слід перевірити на потенційні експлойти, зокрема за ризиками OWASP Top 10. Якщо залучити професійного інженера неможливо, видання пропонує попросити ШІ оцінити власну роботу та перевірити її іншими моделями. Серед інструментів для оцінювання таких проєктів названо Claude Code Security, Codex Security, Stackhawk’s Wingman, CheckVibe, SafeToShip і Vibe App Scanner. Моніторинг безпеки має тривати і після публікації застосунку.
