Hacker News

आधारभूत त्रुटिहरूले भरिएको Vibe कोड गरिएको Lovable-hosted एपले 18K प्रयोगकर्ताहरूलाई उजागर गरेको छ

टिप्पणीहरू

1 min read Via www.theregister.com

Mewayz Team

Editorial Team

Hacker News
म यस विषयमा मेरो ज्ञानको आधारमा लेख लेख्ने छु — घटना जहाँ लभबल (एआई एप निर्माणकर्ता) मा निर्मित "भाइब कोडेड" एपमा आधारभूत सुरक्षा त्रुटिहरू फेला परेको थियो जसले लगभग 18,000 प्रयोगकर्ताहरूको व्यक्तिगत डेटालाई उजागर गरेको थियो। यो नो-कोड/एआई-कोड स्पेसमा राम्रोसँग दस्तावेज गरिएको सावधानीपूर्ण कथा हो।

जब "Vibe Coding" गलत हुन्छ: कसरी नो-कोड एपले 18,000 प्रयोगकर्ताहरूलाई आधारभूत सुरक्षा त्रुटिहरू देखाउँछ

एआई-संचालित उपकरणहरू प्रयोग गरेर मिनेटमा पूर्ण रूपमा कार्यात्मक एप निर्माण गर्ने वाचाले विश्वभरका उद्यमीहरू, एकल व्यवसायीहरू र साइड-प्रोजेक्ट उत्साहीहरूलाई मोहित बनाएको छ। तर भर्खरैको एउटा लभबल-होस्टेड एप्लिकेसन समावेश भएको घटनाले बेलगाम उत्साहमा चिसो पानी फ्याँकेको छ। एउटा "भाइब कोडेड" एप - न्यूनतम मानवीय निरीक्षणको साथ एआई प्रम्प्टहरू मार्फत लगभग पूर्ण रूपमा निर्माण गरिएको - प्राथमिक सुरक्षा कमजोरीहरू समावेश भएको पत्ता लगाइएको थियो जसले लगभग 18,000 प्रयोगकर्ताहरूको व्यक्तिगत डेटालाई कहाँ हेर्ने भनेर थाहा भएको जो कोहीलाई खुलासा गरेको थियो। कुनै परिष्कृत ह्याकिंग आवश्यक थिएन। शून्य दिनको शोषण छैन। केवल आधारभूत त्रुटिहरू जुन कुनै पनि कनिष्ठ विकासकर्ताले कोड समीक्षामा समातेका थिए। यस घटनाले प्रजातान्त्रिक सफ्टवेयर विकास र वास्तविक मानिसहरूलाई जोखिममा पार्ने उत्पादनहरूलाई लापरवाही ढुवानी गर्ने बीचको रेखा कहाँ पर्छ भन्ने बारेमा गम्भीर बहस सुरु गरेको छ।

Vibe कोडिङ के हो, र यो किन लोकप्रियतामा विस्फोट भएको छ?

"Vibe कोडिङ" भनेको एआई उपकरणहरूमा प्राकृतिक-भाषा प्रम्प्टहरू मार्फत लगभग पूर्ण रूपमा सफ्टवेयर निर्माण गर्ने अभ्यासलाई वर्णन गर्न प्रयोग गरिएको शब्द हो - मोडेलले जे पनि उत्पन्न गर्छ, त्यसलाई स्वीकार गर्ने, अन्तर्निहित कोड विरलै पढ्ने, र यसले कसरी काम गर्छ भन्ने कुरा बुझ्नुको सट्टा आफूले चाहेको कुरा वर्णन गरेर दोहोर्याउने। Lovable, Bolt, र Replit Agent जस्ता प्लेटफर्महरूले यो दृष्टिकोणलाई आइडिया र क्रेडिट कार्ड भएका सबैलाई पहुँचयोग्य बनाएको छ। परिणामहरू दृश्यात्मक रूपमा प्रभावशाली हुन सक्छन्: पालिश गरिएको UI, काम गर्ने प्रमाणीकरण प्रवाहहरू, र डाटाबेस-जडित सुविधाहरू — सबै हप्ताको सट्टा घण्टामा उत्पन्न हुन्छन्।

अपील स्पष्ट छ। उद्योगको अनुमान अनुसार, २०२५ मा लन्च गरिएका नयाँ SaaS माइक्रो-एपहरूको ७०% भन्दा बढीमा एआई-सहयोगित कोड उत्पादनको कुनै न कुनै रूप समावेश थियो। गैर-प्राविधिक संस्थापकहरूको लागि, vibe कोडिङले प्रविष्टिको सबैभन्दा डरलाग्दो अवरोध हटाउँछ: वास्तवमा कोड लेख्ने। तर दृष्टिकोणमा आधारभूत त्रुटि छ। जब निर्माणकर्ताहरूले तिनीहरूको उत्पादन चलिरहेको कोड बुझ्दैनन्, तिनीहरूले यसमा सम्मिलित जोखिमहरू पनि बुझ्दैनन्। र प्रेमयोग्य घटनाले देखाएको रूपमा, ती जोखिमहरू गम्भीर हुन सक्छन्।

भाइब कोडिङको पछाडिको सांस्कृतिक गतिले पनि खतरनाक कथा सिर्जना गरेको छ — त्यो कोड बुझ्ने अब ऐच्छिक छ, त्यो सुरक्षा भनेको एआईले "ह्यान्डल गर्ने" कुरा हो, र सुरक्षित ढुवानीभन्दा छिटो ढुवानीलाई बढी महत्त्व दिन्छ। यी अनुमानहरूले 18,000 मानिसहरूलाई तिनीहरूको डेटा उजागर गर्न नेतृत्व गरेको हो।

भंगको शरीर रचना: वास्तवमा के गलत भयो

लोभेबलको प्लेटफर्ममा होस्ट गरिएको खुलासा गरिएको अनुप्रयोग, प्राथमिक सुरक्षा विफलताहरूको नक्षत्रबाट पीडित भएको बताइएको छ। यी विदेशी कमजोरीहरू थिएनन् जसलाई उन्नत शोषण प्रविधिहरू आवश्यक पर्दछ। तिनीहरू पाठ्यपुस्तक गल्तीहरू थिए - कुनै पनि वेब सुरक्षा गाइडको पहिलो अध्यायमा कभर गरिएको प्रकार। पहिचान गरिएका त्रुटिहरू मध्ये अप्रमाणित एपीआई एन्डपोइन्टहरू थिए जसले पूर्ण प्रयोगकर्ता रेकर्डहरू फर्काए, पङ्क्ति-स्तर सुरक्षा लागू नगरिएको डाटाबेस प्रश्नहरू, एपीआई कुञ्जीहरू सीधा क्लाइन्ट-साइड जाभास्क्रिप्टमा हार्डकोड गरियो, र संवेदनशील अन्तबिन्दुहरूमा दर सीमित गर्ने पूर्ण अनुपस्थिति।

एप्लिकेशनको जाँच गर्ने सुरक्षा अनुसन्धानकर्ताहरूले व्यक्तिगत जानकारी — इमेल ठेगानाहरू, नामहरू, फोन नम्बरहरू, र केही अवस्थामा आंशिक भुक्तानी विवरणहरू — एपीआई कलहरूमा क्रमिक प्रयोगकर्ता आईडीहरू मार्फत पुन: प्राप्त गर्न सकिन्छ भनेर उल्लेख गरे। लगइन आवश्यक छैन। कुनै टोकन आवश्यक छैन। डाटा अनिवार्य रूपमा जो कोहीको लागि सार्वजनिक थियो जसले आफ्नो ब्राउजरको विकासकर्ता उपकरणहरूमा नेटवर्क अनुरोधहरू निरीक्षण गर्यो।

सबैभन्दा खतरनाक सुरक्षा कमजोरीहरू ती होइनन् जसलाई शोषण गर्न प्रतिभा चाहिन्छ — तिनीहरू यति आधारभूत हुन् कि ब्राउजर भएका जो कोहीले पनि तिनीहरूमा ठोक्काउन सक्छन्। जब तपाइँ तपाइँको AI ले उत्पन्न गरेको कोड पढ्नुहुन्न, तपाइँ केवल कुनाहरू काट्नुहुन्न। तपाईं ताला बिनाको घर बनाउँदै हुनुहुन्छ र कसैले ढोका नखोज्ने आशा राख्दै हुनुहुन्छ।

मूल कारण: प्रमाणीकरण बिना विश्वास गर्नुहोस्

यस घटनाको मुटुमा एउटा ढाँचा छ जसको बारेमा सुरक्षा पेशेवरहरूले एआई कोड उत्पादन उपकरणहरूले पहिलो पटक कर्षण प्राप्त गरेदेखि चेतावनी दिइरहेका छन्। विकासकर्ता - वा अझ सही रूपमा, प्रम्प्ट इन्जिनियरले - एआईको आउटपुटलाई स्पष्ट रूपमा विश्वास गर्यो। जब एपले काम गरेको जस्तो देखिन्छ, यो उत्पादन-तयार भएको मानिएको थियो। तर "कामहरू" र "सुरक्षित" पूर्ण रूपमा फरक मापदण्डहरू हुन्। एपीआई एन्डपोइन्टले सही प्रयोगकर्ताको लागि सही डाटा फिर्ता गर्न सक्छ र इन्टरनेटमा प्रत्येक अनाधिकृत आगन्तुकलाई उही डाटा फिर्ता गर्न सक्छ।

एआई कोड जनरेटरहरू कार्यात्मक शुद्धताका लागि अनुकूलित हुन्छन्, विरोधी लचिलोपन होइन। तिनीहरूले प्रोम्प्टलाई सन्तुष्ट पार्ने कोड उत्पादन गर्छन्, न कि कुनै दुर्भावनापूर्ण अभिनेताले यसलाई कसरी दुरुपयोग गर्न सक्छन् भनेर अनुमान गर्ने कोड। पङ्क्ति-स्तर सुरक्षा नीतिहरू, इनपुट सेनिटाइजेसन, प्रमाणीकरण मिडलवेयर, CORS कन्फिगरेसन, र दर सीमित गर्ने सबै चिन्ताहरू हुन् जसलाई जानाजानी, सुरक्षा-सचेत कार्यान्वयन आवश्यक छ। तिनीहरू "मलाई प्रयोगकर्ता ड्यासबोर्ड बनाउनुहोस्" जस्ता प्रम्प्टहरूबाट विरलै प्राकृतिक रूपमा देखा पर्छन्।

लोभेबल प्लेटफर्मले सुपाबेसलाई यसको ब्याकइन्डको रूपमा प्रदान गर्दछ, जसले रो-लेभल सेक्युरिटी (RLS) नीतिहरू सहित - बलियो सुरक्षा सुविधाहरू प्रदान गर्दछ। तर यी सुविधाहरू स्पष्ट रूपमा सक्षम र सही कन्फिगर हुनुपर्छ। यस अवस्थामा AI-उत्पन्न कोड RLS सक्षम गर्न असफल भयो वा यसलाई गलत तरिकाले कन्फिगर गरियो, जसले पालिश फ्रन्टएन्ड पछाडि फराकिलो-खुला डाटा तह सिर्जना गर्यो। पाठ अचम्मको छ: उत्पन्न गरिएको कोडले तिनीहरूलाई प्रयोग गर्दैन भने प्लेटफर्मको सुरक्षा क्षमताहरू अप्रासंगिक छन्।

यो किन प्रणालीगत समस्या हो, पृथक घटना होइन

यसलाई लापरवाह व्यक्तिको एकल असफलताको रूपमा खारेज गर्नु सान्त्वनादायी हुनेछ। तर प्रमाणहरूले सुझाव दिन्छ कि समस्या संरचनात्मक छ। 2025 स्ट्यानफोर्ड अध्ययनले पत्ता लगायो कि एआई सहायकहरू प्रयोग गर्ने विकासकर्ताहरूले म्यानुअल रूपमा कोडिङ गर्नेहरू भन्दा 40% बढी सुरक्षा कमजोरीहरूसँग कोड उत्पादन गरे - र आलोचनात्मक रूपमा, तिनीहरूको कोडको सुरक्षाको बारेमा बढी विश्वस्त महसुस गरे। यो आत्मविश्वास अन्तर वास्तविक खतरा हो। Vibe coders केवल असुरक्षित कोड शिपिंग गर्दैनन्; उनीहरूले साँच्चै विश्वास गर्छन् कि उनीहरूले केही ठोस बनाएका छन्।

एआई-निर्मित एपहरूको प्रसारको अर्थ त्यहाँ अहिले हजारौं उत्पादन अनुप्रयोगहरू छन् जसले वास्तविक प्रयोगकर्ता डेटा ह्यान्डल गर्छ जसले कहिल्यै सुरक्षा समीक्षा, प्रवेश परीक्षण, वा म्यानुअल कोड अडिट पनि गरेको छैन। यी मध्ये धेरै एपहरू एकल संस्थापकहरूले बनाएका हुन् जससँग AI ले के उत्पादन गरेको छ भनी मूल्याङ्कन गर्न प्राविधिक पृष्ठभूमि छैन। आक्रमण सतह एउटै एप होइन - यो एआई आउटपुट स्वाभाविक रूपमा विश्वसनीय छ भन्ने धारणामा निर्मित सफ्टवेयरको सम्पूर्ण पुस्ता हो।

💡 DID YOU KNOW?

Mewayz replaces 8+ business tools in one platform

CRM · Invoicing · HR · Projects · Booking · eCommerce · POS · Analytics. Free forever plan available.

Start Free →

विशिष्ट भाइब कोडिङ कार्यप्रवाहलाई विचार गर्नुहोस् र जहाँ सुरक्षा दरारहरू मार्फत आउँछ:

  1. प्रम्प्ट-संचालित विकास: निर्माणकर्ताले सुरक्षा आवश्यकताहरू, प्रमाणीकरण ढाँचाहरू, वा डेटा सुरक्षा नीतिहरूको उल्लेख नगरी प्राकृतिक भाषामा सुविधाहरू वर्णन गर्दछ।
  2. समीक्षा बिना स्वीकृति: उत्पन्न गरिएको कोड कार्यक्षमताको लागि परीक्षण गरिएको छ ("बटनले काम गर्छ?") तर सुरक्षाको लागि कहिल्यै लेखापरीक्षण गरिएको छैन ("अरू कसले यो डेटा पहुँच गर्न सक्छ?")।
  3. द्रुत परिनियोजन: कुनै स्टेजिङ वातावरण बिना, कुनै सुरक्षा परीक्षण, र अनाधिकृत पहुँचको लागि कुनै निगरानी बिना एप घण्टा वा दिन भित्र लाइभ हुन्छ।
  4. एक्सपोजरको साथ मापन: प्रयोगकर्ताहरूले साइन अप गर्दा र व्यक्तिगत डेटा प्रदान गर्दा, कुनै पनि जोखिमको ब्लास्ट रेडियस बढ्छ — तर निर्माणकर्तासँग सम्भावित खतराहरूमा कुनै दृश्यता हुँदैन।
  5. बाहिरीहरूद्वारा खोज: सुरक्षा त्रुटिहरू अन्ततः फेला पर्छन् — निर्माणकर्ताद्वारा होइन, तर अनुसन्धानकर्ताहरू, प्रतिस्पर्धीहरू, वा खराब अभिनेताहरूद्वारा।

जिम्मेवार एप निर्माण वास्तवमा कस्तो देखिन्छ

यसको कुनै पनि अर्थ एआई-सहयोगित विकास स्वाभाविक रूपमा खतरनाक छ, वा गैर-प्राविधिक संस्थापकहरूले वैध उत्पादनहरू निर्माण गर्न सक्दैनन्। यसको मतलब यो दृष्टिकोणको लागि रेलिंग, जागरूकता, र - धेरै अवस्थामा - स्क्र्याचबाट निर्माण गर्नुको सट्टा स्थापित प्लेटफर्महरू प्रयोग गर्ने इच्छा चाहिन्छ। सुरक्षाका आधारभूत कुराहरू जुन पर्दाफास गरिएको एप कार्यान्वयन गर्न असफल भयो, वैकल्पिक सुविधाहरू होइनन्। तिनीहरू प्रयोगकर्ता डेटा ह्यान्डल गर्ने कुनै पनि अनुप्रयोगको लागि तालिका दांव हुन्।

संस्थापक र साना व्यवसाय सञ्चालकहरूका लागि जसलाई आफ्नो कार्य सञ्चालन गर्न सफ्टवेयर चाहिन्छ — CRM, बीजक, बुकिङ, टोली व्यवस्थापन — सबैभन्दा सुरक्षित मार्ग प्रायः आफू अनुकूल एप निर्माण गर्नु हुँदैन। यस जोखिमलाई हटाउनका लागि Mewayz जस्ता प्लेटफर्महरू अवस्थित छन्। पेरोल र HR देखि फ्लीट व्यवस्थापन, एनालिटिक्स, र क्लाइन्ट पोर्टलहरू सम्म सबै कुरा कभर गर्ने 207 पूर्व-निर्मित मोड्युलहरूको साथ, Mewayz ले कार्यक्षमता प्रदान गर्दछ जुन vibe coders प्रतिकृति गर्न प्रयास गर्दै हप्ताहरू बिताउँछ - उद्यम-ग्रेड सुरक्षा, उचित प्रमाणीकरण, एन्क्रिप्टेड डाटा ह्यान्डलिंग, र एक समर्पित ईन्जिनियरिङ् टोलीमा बाहेक। पहिले नै प्लेटफर्ममा रहेका 138,000 प्रयोगकर्ताहरूले सुरक्षा अभ्यासहरूबाट लाभ उठाउँछन् जुन मध्यरातमा एआई प्रम्प्ट गर्ने कुनै पनि एकल संस्थापकले वास्तविक रूपमा मेल खान सक्दैन।

गणना सरल छ: यदि तपाईंको मुख्य व्यवसाय सफ्टवेयर विकास होइन भने, अनुकूल एप कोडिङमा बिताएका घण्टाहरू वास्तवमा तपाईंको व्यवसाय चलाउनमा राम्रो लगानी हुनेछ — निर्माण, परीक्षण, अडिट र पेशेवरहरूद्वारा मर्मत गरिएका उपकरणहरू प्रयोग गरेर।

AI-सहयोगित विकास युगका लागि पाठहरू

आनन्दनीय घटना एआई-सहयोगित विकासलाई पूर्ण रूपमा त्याग्नुको कारण होइन। एआई कोड उत्पादन एक शक्तिशाली उपकरण हो जसले साँच्चै सफ्टवेयर निर्माणलाई गति दिन्छ। तर एउटा औजार त्यसलाई चलाउने हात जत्तिकै सुरक्षित हुन्छ। एक चेनस एक प्रशिक्षित आर्बोरिस्टको लागि अमूल्य छ र कसैको लागि विनाशकारी छ जसले कहिल्यै धारण गरेको छैन। यही सिद्धान्त तपाईंले वास्तविक प्रयोगकर्ता डेटा ह्यान्डल गर्ने उत्पादन सर्भरहरूमा कहिल्यै नपढ्नु भएको ढुवानी कोडमा लागू हुन्छ।

एआई सहायताको साथ अनुकूलन अनुप्रयोगहरू निर्माण गर्ने छनौट गर्नेहरूका लागि, न्यूनतम व्यवहार्य सुरक्षा चेकलिस्ट गैर-वार्तालाप योग्य छ:

  • प्रत्येक डाटाबेस तालिकामा पङ्क्ति-स्तर सुरक्षा सक्षम गर्नुहोस् र प्रमाणित गर्नुहोस् जुन प्रयोगकर्ता डेटा समावेश गर्दछ — त्यसपछि अन्य प्रयोगकर्ताहरूको रेकर्ड पहुँच गर्ने प्रयास गरेर परीक्षण गर्नुहोस्।
  • क्लाइन्ट-साइड कोडमा API कुञ्जीहरू कहिल्यै खुला नगर्नुहोस्। ब्राउजरबाट गोप्य कुराहरू राख्न सर्भर-साइड वातावरण चरहरू र API मार्गहरू प्रयोग गर्नुहोस्।
    • प्रयोगकर्ता डेटा फर्काउने वा परिमार्जन गर्ने प्रत्येक अन्तिम बिन्दुमा
  • प्रमाणीकरण मिडलवेयर लागू गर्नुहोस्। अप्रमाणित अनुरोधहरु संग परीक्षण।
  • दर लिमिटिङ थप्नुहोस् लगइन र डाटा एन्डपोइन्टहरूमा गणना आक्रमणहरू र क्रूर-बल प्रयासहरू रोक्न।
  • आधारभूत सुरक्षा अडिट चलाउनुहोस् सुरुवात गर्नु अघि — OWASP ZAP जस्ता नि:शुल्क उपकरणहरूले पनि सबैभन्दा गम्भीर कमजोरीहरू समात्न सक्छ।
  • उत्पन्न गरिएको कोड पढ्नुहोस्। यदि तपाइँ यसलाई बुझ्न सक्नुहुन्न भने, तपाइँले यसको पछाडि वास्तविक प्रयोगकर्ताहरूको डेटा राख्नु अघि यसलाई समीक्षा गर्न सक्ने कसैलाई नियुक्त गर्नुहोस्।

18,000 प्रयोगकर्ताहरू जसको डेटा खुलासा गरिएको थियो उनीहरूले कसैको एआई प्रयोगको बिटा-परीक्षण गरिरहेको थाहा पाएर साइन अप गरेनन्। तिनीहरूले तिनीहरूको जानकारीको साथ अनुप्रयोगलाई विश्वास गरे किनभने यो व्यावसायिक देखिन्छ र सही रूपमा कार्य गर्दछ। त्यो विश्वास एक परिष्कृत साइबर आक्रमण द्वारा उल्लङ्घन भएको थियो, तर लापरवाहीले नवीनताको रूपमा लुगा लगाइएको थियो। AI-संचालित विकास उपकरणहरूले सफ्टवेयर निर्माणमा बाधालाई कम गर्न जारी राख्दा, उद्योग र व्यक्तिगत निर्माणकर्ताहरूले - सुरक्षित सफ्टवेयर ढुवानीमा बाधा यसबाट नछोड्ने सुनिश्चित गर्नुपर्छ।

तल्लो रेखा: सुरक्षा बिनाको गति भनेको लापरवाही मात्र हो

एआई प्रम्प्टहरू बाहेक केही प्रयोग नगरी एक सप्ताहन्तमा पूर्ण SaaS उत्पादन निर्माण गर्ने आकर्षण निर्विवाद छ। तर मायालु घटनाले एउटा कुरालाई पीडादायी रूपमा स्पष्ट पारेको छ: तपाईले एप बनाउन सक्ने गतिको कुनै अर्थ छैन यदि तपाइँ यसलाई प्रयोग गर्ने मानिसहरूको सुरक्षाको ग्यारेन्टी दिन सक्नुहुन्न भने। सामाजिक सञ्जालमा साझा गरिएको प्रत्येक भाइब-कोड गरिएको सफलताको कथाको लागि, त्यहाँ ठ्याक्कै उस्तै कमजोरीहरूका साथ अहिले उत्पादनमा बसिरहेका अनगिन्ती अनुप्रयोगहरू छन् — केवल पत्ता लगाउनको लागि पर्खिरहेका छन्।

तपाईंले AI सहायताको साथ निर्माण गर्ने र उचित सुरक्षा समीक्षाहरूमा लगानी गर्ने वा सुरक्षा पूर्वाधारहरू ह्यान्डल गर्ने Mewayz जस्तो युद्ध-परीक्षण प्लेटफर्मको लागि छनौट गर्नुहोस् ताकि तपाईं आफ्नो व्यवसाय बढाउनमा ध्यान केन्द्रित गर्न सक्नुहुन्छ, अत्यावश्यक एउटै छ: तपाईंको प्रयोगकर्ताहरूको डेटालाई सम्मानका साथ व्यवहार गर्नुहोस्। 2026 मा, "मलाई थाहा थिएन कोड असुरक्षित थियो" अब बहाना छैन। यो दायित्व हो।

बारम्बार सोधिने प्रश्नहरू

"भाइब कोडिङ" भनेको के हो र यो किन जोखिमपूर्ण छ?

Vibe कोडिङले न्यूनतम म्यानुअल कोड समीक्षाको साथमा प्राकृतिक भाषामा आफूले चाहेको कुराको वर्णन गरेर AI उपकरणहरू प्रयोग गरी सफ्टवेयर निर्माण गर्नुलाई जनाउँछ। जोखिम यो हो कि AI-उत्पन्न कोडमा प्रायः प्रमाणीकरण, इनपुट प्रमाणीकरण, र डेटा इन्क्रिप्शन जस्ता उचित सुरक्षा आधारभूत कुराहरूको अभाव हुन्छ। अनुभवी विकासकर्ताहरूले आउटपुटको समीक्षा नगरीकन, महत्त्वपूर्ण कमजोरीहरू पत्ता नलागेको माध्यमबाट चिप्लन सक्छन्, सम्भावित रूपमा हजारौं प्रयोगकर्ताहरूलाई डेटा उल्लङ्घन र गोपनीयता उल्लङ्घनहरूमा पर्दाफास गर्नुहोस्।

Lovable-होस्ट गरिएको एपले 18,000 प्रयोगकर्ताहरूलाई कसरी उजागर गर्‍यो?

एपमा पर्दाफास गरिएका API कुञ्जीहरू, डाटाबेसको अन्तिम बिन्दुहरूमा प्रमाणीकरण नभएको, र अपर्याप्त पहुँच नियन्त्रणहरू सहित आधारभूत सुरक्षा त्रुटिहरू थिए। यी आधारभूत कमजोरीहरू हुन् जुन कुनै पनि अनुभवी विकासकर्ताले कोड समीक्षाको क्रममा समात्छन्। किनभने एप मुख्य रूपमा एआई प्रम्प्टहरू मार्फत पूर्ण सुरक्षा अडिटिङ बिना निर्माण गरिएको थियो, आक्रमणकारीहरूले प्रयोगकर्ता डेटा सीधै पहुँच गर्न सक्छन् — किन स्वचालित कोड उत्पादन अझै पनि मानव निरीक्षण र सुरक्षा परीक्षण आवश्यक छ भनेर हाइलाइट।

के AI-निर्मित एपहरू उत्पादन प्रयोगको लागि पर्याप्त सुरक्षित हुन सक्छन्?

हो, तर केवल शीर्षमा स्तरित उचित सुरक्षा अभ्यासहरूसँग। एआई कोड जेनेरेसन सुरुवात बिन्दु हो, समाप्त उत्पादन होइन। व्यवसायहरूलाई कोड समीक्षा, प्रवेश परीक्षण, र सुरक्षित पूर्वाधार चाहिन्छ। Mewayz जस्ता प्लेटफर्महरूले $19/mo बाट सुरु हुने 207 मोड्युलहरू भएको पूर्व-निर्मित, सुरक्षा-अडिट गरिएको व्यापार OS प्रदान गरेर यसलाई कम गर्छ — त्यसैले तपाईंले स्क्र्याचबाट कमजोर कोड नलेखी उत्पादन-तयार उपकरणहरू प्राप्त गर्नुहुन्छ।

यस घटनाबाट व्यवसायहरूले के सिक्नुपर्छ?

मुख्य टेकअवे यो हो कि गति कहिले पनि सुरक्षाको लागतमा आउनु हुँदैन। प्रयोगकर्ताको डेटा ह्यान्डलिंग गर्ने कुनै पनि एप सुरु गर्नु अघि, यो कसरी बनाइएको हो भनी पूर्ण सुरक्षा अडिटहरू सञ्चालन गर्नुहोस्। परीक्षण नगरिएको AI-उत्पन्न कोड प्रयोग गर्नुको सट्टा प्रमाणित सुरक्षा ट्र्याक रेकर्डहरूको साथ स्थापित प्लेटफर्महरू प्रयोग गर्ने विचार गर्नुहोस्। विकास समयको केही घण्टा बचत गर्नु भन्दा प्रयोगकर्ताको विश्वासको सुरक्षा गर्नु धेरै महत्त्वपूर्ण छ।