Sebelum kongsi app hasil vibe coding, semak empat kelemahan keselamatan ini

Alat seperti Lovable, Replit dan Base44 membolehkan anda menerangkan aplikasi dalam bahasa biasa dan menerbitkannya dalam talian. Jika anda pernah menggunakannya untuk membina borang tempahan bagi perniagaan kecil, senarai ahli persatuan atau penjejak kerja di pejabat, panduan ini untuk anda. Penyelidik keselamatan terus menemui beberapa kesilapan yang sama dalam aplikasi yang dibina dengan cara ini, dan sebahagiannya telah membocorkan data peribadi. Ini empat kelemahan yang perlu disemak sebelum anda berkongsi pautan.

Apa yang ditemui penyelidik

• Wiz Research meneliti aplikasi yang dibina di platform vibe coding dan, pada September 2025, menerbitkan empat kesilapan lazim berimpak tinggi yang disenaraikan di bawah. Wiz berkongsi penemuan itu dengan Lovable, yang kemudiannya menulis panduan amalan terbaik keselamatan untuk penggunanya dan, bersama Wiz, mengubah system prompt platformnya supaya meletakkan maklumat rahsia dalam kod pelayar dianggap sebagai risiko keselamatan.
• Red Access, firma keselamatan dari Israel, melaporkan pada Mei 2026 bahawa ia menemui 380,000 aset yang boleh diakses awam dan dibina menggunakan Lovable, Base44, Replit dan Netlify, menurut VentureBeat. Kira-kira 5,000 daripadanya, atau 1.3%, mengandungi maklumat korporat yang sensitif. Antara contohnya ialah data kewangan dalaman sebuah bank Brazil yang boleh dibuka oleh sesiapa sahaja yang ada URL-nya, dan perbualan pesakit di sebuah pusat jagaan jangka panjang kanak-kanak. Lovable dan Wix, pemilik Base44, berkata Red Access tidak berkongsi URL atau butiran yang diperlukan untuk mengesahkan penemuan itu. CEO Replit pula berkata firma itu hanya memberi Replit 24 jam sebelum membawa perkara itu kepada media.
• Moltbook, rangkaian sosial untuk ejen AI, telah mendedahkan pangkalan data produksinya pada awal 2026, menurut Wiz. Pengasasnya pernah berkata dia "tidak menulis walau satu baris kod" untuk platform itu. Kunci pangkalan data terdapat dalam kod pelayar laman itu tanpa sebarang peraturan akses, lalu mendedahkan 1.5 juta token API, 35,000 alamat e-mel dan 4,060 perbualan peribadi antara ejen. Masalah itu dibaiki kira-kira tiga jam selepas Wiz melaporkannya.

Empat kelemahan, dan cara menutupnya

1. Log masuk disemak dalam pelayar. Wiz menemui aplikasi yang menyemak kata laluan sepenuhnya dalam pelayar, malah ada yang menulis kata laluan terus dalam kod. Sesiapa sahaja boleh membuka kod itu dan membacanya. Cara baiki: pastikan log masuk disemak di pelayan, menggunakan perkhidmatan log masuk yang betul. Semasa menulis prompt, beritahu AI bahawa semua kod dalam pelayar boleh dilihat umum.

2. Kunci API dan maklumat rahsia dalam kod pelayar. Kunci untuk perkhidmatan luar dan maklumat log masuk akaun perkhidmatan terdapat dalam JavaScript aplikasi, dan sesiapa sahaja boleh menyalinnya. Cara baiki: hantar panggilan ke perkhidmatan luar melalui backend. Bagi aplikasi Lovable, Wiz mencadangkan Supabase Edge Functions, dengan kunci disimpan dalam Supabase Secrets.

3. Jadual pangkalan data terbuka kepada semua. Banyak aplikasi hasil vibe coding menggunakan Supabase, yang bergantung pada peraturan Row Level Security (RLS) untuk menentukan siapa boleh membaca baris data yang mana. Wiz mendapati peraturan ini dimatikan atau terlalu longgar. Dalam satu kes, sebuah game yang dibina untuk syarikat membocorkan butiran peribadi dan alamat IP penggunanya. Cara baiki: mulakan dengan "tolak secara lalai" (deny by default), kemudian tulis peraturan jelas yang memberi akses berdasarkan ID atau peranan pengguna yang log masuk, dan ujinya.

4. Alat dalaman tanpa log masuk langsung. Wiz menemui pangkalan pengetahuan dalaman, chatbot yang dilatih dengan data sensitif dan laman ujian yang menyimpan data sebenar, semuanya boleh dicapai oleh sesiapa yang menjumpai alamatnya. Cara baiki: wajibkan log masuk untuk apa-apa yang mengandungi data sensitif. Simpan senarai semua aplikasi hasil vibe coding yang telah diterbitkan oleh pasukan anda, supaya tiada yang terlepas pandang.

Ujian ringkas yang boleh anda buat sendiri

Buka aplikasi anda dalam tetingkap pelayar peribadi atau incognito, tanpa log masuk, dan cuba capai halaman serta data yang sepatutnya peribadi. Jika anda boleh melihatnya, orang lain juga boleh.

Jika aplikasi anda menyimpan data peribadi

Peraturan pemberitahuan pelanggaran data di bawah Akta Perlindungan Data Peribadi Malaysia berkuat kuasa pada 1 Jun 2025. Menurut firma guaman DLA Piper, garis panduan Pesuruhjaya menetapkan bahawa pelanggaran yang menyebabkan atau mungkin menyebabkan kemudaratan ketara, atau melibatkan lebih 1,000 orang, mesti dilaporkan kepada Pesuruhjaya secepat mungkin dan dalam tempoh 72 jam. Jika terdapat kemudaratan ketara, individu yang terjejas mesti dimaklumkan dalam tempoh tujuh hari selepas Pesuruhjaya dimaklumkan. Jika aplikasi anda mengumpul nama, nombor telefon atau nombor kad pengenalan, peraturan ini mungkin terpakai kepada anda.

Sumber

• Wiz, Wiz Research Finds Risks in 20% of Vibe-Coded Apps, 18 September 2025
• Wiz, Hacking Moltbook: AI Social Network Reveals 1.5M API Keys, 2 Februari 2026
• VentureBeat, laporan tentang imbasan Red Access ke atas 380,000 aset hasil vibe coding, 8 Mei 2026
• DLA Piper Privacy Matters, Malaysia: Guidelines Issued on Data Breach Notification and Data Protection Officer Appointment, 4 Mac 2025