Vibe Coding: Nowe zagrożenie bezpieczeństwa w erze AI?
W świecie tworzenia oprogramowania, gdzie innowacja goni innowację, pojawiają się nowe metody i narzędzia. Jednym z nich jest tzw. vibe coding – praktyka polegająca na wykorzystywaniu sztucznej inteligencji do generowania fragmentów kodu. Brzmi obiecująco, prawda? Szybciej, efektywniej, nowocześnie. Ale czy na pewno bezpiecznie?
AI pisze kod, ale kto bierze odpowiedzialność?
Rosnąca popularność vibe codingu budzi poważne obawy wśród ekspertów ds. bezpieczeństwa. Alex Zenla, CTO firmy Edera, alarmuje, że AI może stać się swoim własnym wrogiem, generując kod podatny na luki. Dlaczego? Ponieważ modele AI często uczą się na przestarzałych, wadliwych lub wręcz zainfekowanych zbiorach danych. W efekcie, stare problemy mogą powracać w nowym, wygenerowanym przez AI kodzie.
Problem polega również na tym, że wygenerowany kod jest często tylko szkicem, który wymaga dopracowania i dostosowania do konkretnego kontekstu. Eran Kinsbruner z Checkmarx zwraca uwagę na brak spójności: to samo zapytanie skierowane do modelu językowego może dać różne wyniki, co wprowadza dodatkowy chaos w procesie developmentu.
Brak nadzoru, brak kontroli
Badanie Checkmarx ujawnia, że aż jedna trzecia firm generuje ponad 60% kodu za pomocą AI, ale tylko 18% z nich posiada listę zatwierdzonych narzędzi do vibe codingu. To alarmujący sygnał, wskazujący na brak odpowiedniego nadzoru i kontroli nad tym procesem. Co więcej, AI zaciera granice odpowiedzialności za kod. W projektach open source można prześledzić, kto wprowadził daną zmianę, kto jest autorem danego fragmentu. W przypadku kodu generowanego przez AI, ta transparentność znika.
Dan Fernandez z Edera podkreśla, że brakuje możliwości audytu i weryfikacji kodu generowanego przez AI. Nie wiadomo, co dokładnie wpłynęło na jego powstanie i czy został on sprawdzony przez człowieka.
Dla kogo to zagrożenie?
Vibe coding może wydawać się atrakcyjnym rozwiązaniem dla małych firm i społeczności, które nie dysponują dużymi zasobami. Niestety, jak zauważa Zenla, to właśnie te grupy są najbardziej narażone na negatywne skutki luk w zabezpieczeniach. Łatwość tworzenia kodu za pomocą AI może prowadzić do powstania aplikacji pełnych błędów, które stanowią łatwy cel dla cyberprzestępców.
Jake Williams, były haker NSA, przestrzega, że już teraz kod generowany przez AI przenika do baz kodu. Możemy uczyć się na błędach związanych z bezpieczeństwem łańcucha dostaw oprogramowania open source, albo zignorować problem i ponieść tego konsekwencje. Przyszłość oprogramowania zależy od tego, czy potrafimy odpowiedzialnie wykorzystać potencjał AI, jednocześnie dbając o bezpieczeństwo i transparentność kodu.
