Sigurnosna lista za vibe coding

Aplikacije napravljene zadavanjem uputstava AI-ju izlaze brzo i pucaju na istim mjestima, i to je korisno, jer se propust koji se ponavlja može provjeriti. Ova sigurnosna lista za vibe coding nastala je iz tih mjesta, a ne iz opšteg spiska ranjivosti na vebu, i namjerno je kratka: četiri stvari koje se kvare dovoljno često da je provjera prije objave jeftinija od otkrića nakon nje.

Prva su izloženi ključevi: tajna zalijepljena u klijentski kod da bi nešto proradilo završi u paketu koji preuzima svaki posjetilac. Druga je isključena row-level security, što na Supabaseu ostavlja tabelu čitljivom javnim ključem koji se, po dizajnu, nalazi u pregledaču. Treća su API rute bez provjere autentifikacije, dostupne svakome ko pogleda mrežni tab. Četvrta su plaćeni pozivi modelu bez ograničenja, gdje petlja ili zlonamjeran korisnik mogu napraviti račun prije nego što iko primijeti.

Razlog zašto se ovo ponavlja jeste što osoba koja objavljuje često ne može da provjeri ono što je generisano, a niko drugi ne gleda prije nego što ode uživo. Model će napraviti edge funkciju koja radi a da ne odluči ko smije da je pozove, jer ga to niko nije pitao. Kod je nepotpun baš na mjestima koja bi recenzent uočio.

Rhomn Scan pretvara ovu listu u pravila koja se pokreću nad kodnom bazom iz komandne linije. Njegov mehanizam čita svaki fajl i strukturno mu je zabranjeno da instalira ili izvršava bilo šta što skenira, što je važno kada je kod koji se provjerava upravo kod kojem niko još ne vjeruje. Besplatan izvještaj daje ocjenu i broj nalaza po ozbiljnosti, a pun izvještaj nosi uputstva za ispravku koja se mogu zalijepiti nazad u alat koji je kod napisao.

Prvo pravilo koje je stiglo do produkcije pronalazi Supabase edge funkcije bez autentifikacije, a njegova prva verzija propustila je deset od dvanaest slučajeva jer je jedno podešavanje tretirala kao sigurnosnu granicu. Ta prepravka je opisana u tekstu verify_jwt nije autentifikacija, a sam skener je u studiji slučaja Rhomn Scan.