自去年初以來，「vibe coding」一詞在科技界廣泛流傳，源於 OpenAI 共同創辦人 Andrej Karpathy 在 X 平台上分享他與 AI 模型對話生成代碼的經歷，並表示他不需過多思考代碼本身。「我只是看到東西、說出來、執行、複製粘貼，通常都能運作。」這一貼文引發了「vibe coding」的熱潮。在科技行業中，這種編碼方式已成為新常態。雖然這是一種能夠以更少資源更快推進的強大工具，但生成的代碼如果未經充分理解或審查，可能會對自身、設備及使用者造成嚴重的安全風險。
專注於 AI 應用的網絡安全公司 Apiiro 表示，在研究了《財富》50 強企業後發現，vibe coding 使工程師的生產力提高了四倍，但隨之而來的安全問題卻增加了十倍。因此，在進行 vibe coding 時，必須遵循基本的安全最佳實踐。
Vibe Coding 的安全風險需要重視
將 AI 模型視作懶惰的精靈。許多 AI 模型會快速採取捷徑，技術上滿足您的要求，但未能實施安全措施或仔細檢查工作。不要假設 AI 會保持關鍵資訊的私密性、實施網絡安全最佳實踐或檢查其代碼是否存在潛在漏洞。盡可能具體地說明您的要求，包括私隱規範、誰可以訪問您所創建內容的限制以及希望添加的其他安全防護措施，例如加密。您還可以要求它參考 OWASP 的高危漏洞列表，以幫助在代碼編寫之前避開這些問題。
大多數 AI 模型允許您設置持久性規則或上下文文件，這樣您在每次開始構建時不必重複同樣的指示。使用任何 AI 模型創建一個 markdown 文件（.md 文件），或在使用 Replit 時向「Knowledge」部分添加資訊。
AI markdown 文件對於添加安全指導方針非常有用，因為 AI 將在每次提示或任務中考慮該文件的指示。在開始之前，選擇支持審計日誌的 vibe coding 工具將幫助您更輕鬆地追蹤項目的每一變更。將 API 密鑰或密碼直接放入 AI 提示中永遠不是一個好主意。這類敏感數據也不應出現在代碼中，因為如果您稍後將代碼推送到 Github，所有這些關鍵資訊將會公開可見。
限制 AI 工具的訪問權限也有助於防止提示注入攻擊。相反，將敏感數據存儲在專用的密碼管理器中，並使用 Replit、Lovable 或 Vercel 的「環境變量」或「秘密」選項卡。這是對於初學者來說最簡單和最佳的方法。如果您使用的 AI 工具沒有這樣的內建功能，您將需要為這些數據創建後端的「環境變量」.env 文件，並確保該文件在整個過程中不被公開。
持續監控是確保應用安全的關鍵
這意味著需要將其納入.gitignore 文件中，並確保其不會在應用或網站的前端可見。要檢查您是否正確執行此操作，可以使用 TruffleHog 工具來檢查您的代碼，確保您未意外洩露敏感資訊。如果您正在構建的項目涉及大量數據，則可能需要使用結構化查詢語言（SQL）來處理這些資訊。例如，Spotify 等消費者應用程式使用 SQL 在向用戶傳輸數據時優化應用性能。
脆弱的 SQL 資料庫可能導致 SQL 注入攻擊，讓駭客能夠盜取或刪除數據並用他們想要的內容替換。告訴 AI 參數化查詢、清理輸入、對於關鍵操作使用 Server Actions、啟用行級安全（RLS）並在適用時創建 RLS 策略。所有這些策略都能使代碼更難被利用並保護您的應用數據。
確保 AI 使用最新版本的現有庫也是一個良好的做法。AI 可能會產生虛構的包，或意外使用惡意包，因此也要留意這一點。如果您聽說過 DDoS 攻擊，速率限制是保護您的應用免受攻擊的一種方法。速率限制可以通過限制某人（或機器人）執行特定操作的次數來防止這些攻擊。密碼嘗試的速率限制可以防止暴力破解攻擊和憑證填充。您想要的速率限制程度取決於您的 vibe 應用的功能。
如果它是一個免費應用，例如支援聊天機器人，速率限制可以通過限制每位用戶每天可以使用的令牌數量來保護您的財務。若可能，首先按帳戶 ID 限制速率，然後按 IP 地址。這樣，駭客就不容易進行濫用，並且您的速率限制不會因 VPN 使用而被繞過。電子郵件或電話認證流程以及 CAPTCHA 是其他良好的步驟，可以幫助防止不必要的活動。
如果您無法讓專業軟件工程師審查您的 vibe coding 項目，可以請求 AI 自行評估其工作是否存在潛在漏洞，包括即使早些時候已查看過的 OWASP 前 10 大風險。然後，使用其他 AI 模型來查找潛在問題。有多種工具可以評估 vibe coding 項目，包括 Claude Code Security、Codex Security、Stackhawk 的 Wingman、CheckVibe、SafeToShip 和 Vibe App Scanner。
但修復錯誤在您發佈後並不止於此，因此您必須持續監控您的 vibe 應用或網站，以確保安全。
