Безопасность Vibe Coding

Прежде чем твитнуть о запуске, прогоните эти 69 проверок. Они повторяют точные паттерны, стоящие за CVE Lovable RLS (CVE-2025-48757, 170+ приложений, 2025), утечкой Moltbook (1,5 млн API-токенов, февраль 2026) и взломом платформы Lovable в апреле 2026 года (исходный код и сервисные ключи проектов других пользователей, находившиеся в открытом доступе ~2,5 месяца).

Нужен полный комплект? 50 навыков аудита, 15 .cursorrules, 1 MCP-конфиг + 4 CLI-рецепта, 30 adversarial-промптов для ревью, 10 разборов инцидентов. Установка за 5 минут. Фиксированные $10.

→ rishabhvaai.gumroad.com/l/plddbd

В аудите, опубликованном в октябре 2025 года, Escape.tech просканировала 5 600 реальных приложений, сгенерированных ИИ, охватив 14 600 активов (методология). Они сообщили о 2 038 критических уязвимостях, более 400 утёкших секретах и 175 случаях раскрытия PII в 1 400 из этих приложений (результаты). Секреты были найдены прямо во фронтенд-бандлах: ключи Stripe, OpenAI и Supabase лежали в клиентском JavaScript. С тех пор ничего не улучшилось: отчёт GitGuardian за 2026 год насчитал 28,6 млн новых секретов в публичном GitHub за 2025 год (+34% год к году), секретов AI-сервисов стало на 81% больше, а в коммитах, соавторами которых были кодинг-агенты, секреты утекали примерно в 2 раза чаще, чем в среднем у людей. Это чек-лист из 69 конкретных, проверяемых пунктов. Каждый соответствует реальному паттерну инцидента. Если вы можете отметить все 69 — выкатывайте. Если нет — исправьте то, что вам мешает.

Не SaaS. Не сканер. Обычный список, который вы проходите перед пушем в прод.

Чек-лист безопасности из 69 пунктов перед запуском

До релиза 30 минут. Стоп. Сначала прогоните это.

Только уязвимость Lovable RLS (CVE-2025-48757, 2025, CVSS 9.3) раскрыла 170+ продакшн-приложений. Moltbook раскрыла 1,5 млн API-токенов в феврале 2026 года — доступных одним curl-запросом. Это не были крайние случаи. Это были массовые запуски.

Этот чек-лист группирует 69 конкретных проверяемых пунктов по аутентификации, секретам, API, базам данных, фронтенду, AI/LLM, инструментам агентов и деплою. Если вы не можете отметить все 69 — не выкатывайте.

Аутентификация (8 пунктов)

1. Row-Level Security (RLS) включена на каждой таблице вашей базы данных.
2. Политики RLS существуют для каждой таблицы и каждой роли (anon, authenticated, service_role).
3. JWT-токены проверяются на сервере на каждом защищённом API-маршруте (никогда не доверяйте фронтенду проверку аутентификации).
4. Сессии ротируются или инвалидируются после входа (защита от CSRF и фиксации сессии).
5. Magic-ссылки (аутентификация без пароля) одноразовые, истекают менее чем за 15 минут и привязаны к IP или отпечатку устройства пользователя.
6. Нельзя обновлять или удалять пользователей, заказы и чувствительные записи, полагаясь только на переданные пользователем ID. Тест: попробуйте обновить запись другого пользователя, изменив ID в запросе.
7. CSRF-токены проверяются на изменяющих состояние запросах (POST, PUT, DELETE) через double-submit cookie или SameSite=Strict.
8. У сессионных cookie установлены флаги HttpOnly, Secure и SameSite=Strict.

Секреты и окружение (7 пунктов)

9. Никаких секретов в переменных NEXT_PUBLIC_*, .env-файлах Vue/React или захардкоженных строках. Выполните grep NEXT_PUBLIC_ и проверьте все переменные.
10. .env, .env.local, .env.*.local находятся в .gitignore и никогда не коммитятся. Проверьте историю git: git log --all -p | grep -i "api_key\|secret".
11. Ключ Supabase service_role находится ТОЛЬКО в серверном .env (Node, Python, Go и т.д.), никогда — во фронтенд-бандлах или .env.local. Ключ service_role полностью обходит RLS — одна утечка означает полный доступ на чтение/запись ко всем таблицам.
12. Ключи Stripe: публичный ключ — в NEXT_PUBLIC_*, секретный ключ — только на сервере, подпись вебхуков проверяется.
13. API-ключи OpenAI, Anthropic, xAI никогда не находятся во фронтенд-коде; всегда проксируются через ваш API.
14. Никаких захардкоженных API-ключей, URL баз данных или учётных данных в исходниках (включая комментарии и неиспользуемый код).
15. Секреты ротируются после запуска или если они когда-либо были раскрыты в истории исходников.

Укрепление API (10 пунктов)

База данных (6 пунктов)

26. RLS ПРИНУДИТЕЛЬНО включена на всех таблицах. Роль anon не может выполнять SELECT/INSERT/UPDATE/DELETE ни на одной таблице без явной разрешающей политики.
27. Публичная роль anon имеет ноль разрешений по умолчанию. Политики предоставляют только необходимое. Только чтение публичных списков, никогда — запись.
28. Ключ service-role используется ТОЛЬКО в серверном коде. Проверка: grep -r "service_role" src/. Во фронтенд-файлах должно быть ноль результатов.
29. Изоляция пользовательских данных: запросы всегда фильтруются по auth.uid() или team_id. Ни один запрос не возвращает все записи всех пользователей.
30. Мягкие удаления (флаг is_deleted) или архивные таблицы предотвращают случайную потерю данных. Жёсткие удаления логируются с указанием исполнителя + временной метки.
31. Резервные копии базы данных существуют и протестированы. Вы убедились, что можете восстановиться из резервной копии до этого запуска.

vibe-coding-security

Популярное