Pangembang mbukak IDE, njlentrehake apa sing dikarepake nganggo basa Inggris sing prasaja, lan ndeleng agen AI nulis fitur kasebut sajrone wektu sing dibutuhake kanggo njupuk kopi. Iku ngompilasi. Iku ngliwati klik-tayang manual. Iku dikirim. Ora ana sing takon apa aman, amarga ora ana sing takon apa-apa. Pitunjuk kasebut ngganti pull request, lan "bisa digunakake" ngganti "Aku wis nliti." Kuwi vibe coding, lan dudu kebiasaan pinggiran maneh. Kuwi kepiye bagean kode produksi sing saya akeh ditulis, dening tim profesional, ora mung penggemar sing nyoba aplikasi akhir minggu. Lan kuwi persis kenapa keamanan vibe coding dadi obrolan saben pimpinan teknik lan keamanan, preduli wis menehi jeneng utawa durung.
Apa sejatine tegese "vibe coding"
Vibe coding iku pangembangan piranti lunak ing ngendi wong njlèntrèhaké asil sing dikarepaké nganggo basa alami lan model AI, utawa agen sing dibangun ing ndhuwuré, ngasilaké kode sing bisa digunakaké. Wong kasebut ngarahaké miturut asil ("mbangun a login aliran,” “nambah ekspor CSV”) tinimbang nulis utawa nliti implementasine baris demi baris. Istilah iki populer amarga nggambarake bab sing nyata: pangembang lagi mikir yen output-e bener, dudu maca kode kasebut dhewe.
Owah-owahan kuwi critane kabeh. Tinjauan kode biyen minangka titik pemeriksaan sing dibangun ing babagan carane piranti lunak ditulis. Pengodean getaran ngubengi piranti lunak kasebut kanthi desain. Kacepetan saya tambah. Kebiasaan takon "apa sejatine fungsine iki" saya suda.
Apa sebabe "bisa digunakake" iku salah garis
"Iki bisa digunakake" tegese kode kasebut nindakake apa sing dijaluk, ing skenario sing diuji. Kode kasebut ora ngomong apa-apa babagan apa sing ditindakake kode ing skenario sing ora ditakoni wong liya: input sing salah, pangguna sing diautentikasi sing nyelidiki endpoint sing kakehan percaya karo dheweke, ketergantungan sing ora nate dicenthang, rahasia sing di-hardcode sing ana ing ngarep mata. Ing kene keamanan vibe coding rusak sadurunge ana sing ngerti yen ana masalah.
Model kode AI dilatih kanggo ngasilake output fungsional sing cocog karo tujuan saka prompt. Keamanan dudu fungsi objektif. Model sing ngoptimalake kanggo "iki nyukupi panjaluk" bakal kanthi seneng ngasilake query sing digawe nganggo gabungan string tinimbang parameter, titik pungkasan tanpa kontrol akses amarga prompt kasebut ora nate nyebutake sapa sing ora kudune duwe akses, utawa panggilan API sing percaya karo respon sing kudune divalidasi. Model kasebut ngompilasi. Model kasebut bisa digunakake. Model kasebut uga ngenalake kelas kerentanan sing padha sing wis digunakake tim AppSec kanggo nglatih para pangembang sajrone dasawarsa, sing digawe kanthi kecepatan sing ora ana proses review manual sing digawe kanggo cocog.
Riset internal babagan kode sing digawe AI ndadekake angka nyata dadi alesan intuisi: bagean sing penting saka apa sing diasilake alat pengkodean agentik ngemot cacat keamanan sing bisa dieksploitasi ing pass pisanan, sadurunge ana review sing kedadeyan. Iku dudu cacat ing siji model. Iku minangka output sing diarepake saka optimalisasi kanggo "mlaku," dudu "tahan," lan iku celah sing tepat sing kudu ditutup dening keamanan pengkodean.
Permukaan risiko luwih jembar tinimbang kode kasebut dhewe
Kode getaran keamanan asring digambarake minangka masalah kualitas kode, nanging paparan mlaku liwat kabeh alur kerja agen ora mung ndemek fungsine, nanging uga nyerat:
Apa sebabe piranti AppSec tradisional ketinggalan ing kene
Umume piranti keamanan aplikasi dibangun adhedhasar ritme: kode ditulis, banjur dipindai, ing CI utawa ing PR. Ritme kasebut nganggep ana artefak sing stabil lan digawe manungsa kanggo ditujokake menyang pemindai, lan volume owah-owahan kasebut minangka perkara sing... pipeline bisa mriksa kanthi sengaja.
Pengkodean getaran ngrusak wektu, lan celah wektu kasebut minangka inti saka masalah keamanan pengkodean getaran. Kode owah ing njero IDE sajrone sawetara detik, asring sadurunge tekan pull requestPemindai sing mung mlaku ing CI bakal nemokake masalah kasebut sawise pola sing ora aman wis digabung, wis dadi bagean saka fitur sabanjure sing lagi dibangun wong liya. Lan pemindai sing ngolah kode sing digawe AI padha karo kode liyane ora nggatekake bagean risiko sing spesifik babagan carane ditulis: paket sing dipilih agen tanpa dijaluk kanggo mbenerake, file instruksi sing ngandhani agen apa sing kudu ditindakake sadurunge manungsa ndeleng bedane.
Apa sing sejatine nutup kesenjangan kasebut
Organisasi-organisasi sing maju iki ora ngalangi vibe coding. Dheweke mbangun keamanan vibe coding sing nyata menyang alur kerja: mindhah checkpoint bali menyang papan kode kasebut ditulis, lan nganggep kode sing digawe AI minangka input sing ora dipercaya nganti kabukten beda:
- Pindai nang njero IDE, ora mung nang CI. Nyekel pola sing ora aman nalika agen isih ngasilake fungsi kasebut minangka masalah sing beda karo nyekel sawise telung fitur liyane gumantung marang fungsi kasebut.
- Validasi saben katergantungan sing diwenehake agen, kaya dene sampeyan bakal validasi sing diketik dening pangembang kanthi manual, sadurunge diinstal.
- Anggep file konfigurasi sing diwaca agen minangka kode, dudu dokumentasi. File aturan, file skill, lan konfigurasi server MCP bisa nggawa instruksi sing ngowahi apa sing ditindakake agen, lan file kasebut pantes ditliti kanthi teliti kaya kode sing diasilake agen.
- Terus kabari manungsa babagan ndandani, ora mung gendera. Pangembang sing bisa ngerti kenapa ana sing bisa dieksploitasi, ora mung amarga micu aturan, sejatine bakal sinau kanggo menehi pitunjuk lan nliti kanthi cara sing beda ing wektu sabanjure.
- Anggep "bisa digunakake" ora tau dadi standar keamanan, lan nggawe bilah sing nyata katon ing alur kerja tinimbang ninggalake ing memori.
Ing endi Xygeni cocog
Iki persis jahitane DevAI-ne Xygeni digawe kanggo nutup. DevAI mlaku minangka lapisan keamanan terus-terusan ing njero IDE, ngawasi kode sing ditulis manungsa lan digawe AI nalika diprodhuksi, ora sawise mlebu ing pull requestOra ngenteni pitunjuk: menehi tandha pola sing bisa dieksploitasi, nerangake jalur serangan sing nyata nganggo basa sing prasaja, lan ngusulake perbaikan sing bisa ditinjau lan ditrapake dening pangembang tanpa ninggalake alur kerjane. Ing sisih rantai pasokan, MEW (Peringatan Dini Malware) nyekel paket jahat sadurunge ana tanda tangan, sing penting banget ing kene, amarga agen sing milih dependensi atas jenenge sampeyan persis nalika paket sing ora aman utawa disusupi mlebu.
Ing sangisore loro-lorone, CoreAI nggandhengake apa sing ditemokake ing basis kode, dependensi, lan pipeline dadi siji tampilan risiko sing diprioritasake, lan tampilan kasebut ora diwatesi mung Xygeni's pindai dhewe. Iki ditrapake padha Triase AI, panjelasan, lan remediasi kanggo temuan saka scanner liyane sing wis ana, mula ngamanake kode getaran ora ateges nyopot tumpukan sing wis bisa digunakake. Iku tegese masang lapisan ing ndhuwure sing pungkasane obah kanthi kecepatan kode saiki lagi ditulis.
Pitakonan Umum
Apa vibe coding iku pancen ora aman?
Ora. Vibe coding kuwi metode pangembangan, dudu kerentanan. Risikone asale saka nglewati langkah review sing biyen kanggo nyekel pola sing ora aman, dudu saka nggunakake AI kanggo nulis kode. Pramila keamanan vibe coding minangka disiplin alur kerja, dudu alesan kanggo ngindhari praktik kasebut.
Apa ana SAST or SCA Apa piranti-piranti kasebut nyekel risiko keamanan vibe coding?
Dheweke nyekel sawetara, nanging biasane sawise kode wis digabung, amarga umume mlaku ing CI tinimbang ing njero IDE ing ngendi kode kasebut digawe. Dheweke uga biasane ora ngevaluasi prilaku agen AI dhewe, kayata paket sing dipilih utawa file konfigurasi sing diwaca.
Apa solusi paling apik kanggo keamanan vibe coding?
Pindhah pamriksan keamanan menyang IDE, nalika lagi digawe, tinimbang mung ngandelake sing luwih anyar pipeline pindai. Ndeteksi masalah sadurunge dadi bagean saka telung fitur sabanjure sing dibangun ing ndhuwure iku masalah sing beda karo ndeteksi sawise.
Apa ngamanake vibe coding tegese ngalangi para pangembang?
Ora yen pamriksan kedadeyan langsung, ing IDE, kanthi panjelasan lan solusi sing wis siyap. Tujuane yaiku kanggo njaga getaran kecepatan sing ditawakake coding nalika mulihake penilaian sing biasane diwenehake dening review manual.
