Скрытая уязвимость SQL‑инъекции в AI‑сгенерированном сайте Vibe‑code

Bob Starr, энтузиаст AI‑разработки, воспользовался сервисом Vibe‑code для быстрого создания сайта «Boomberg», который визуализирует, как налоговые деньги США идут в технологические компании. Сайт был опубликован буквально через несколько минут после генерации кода, без традиционного этапа ревью.

Через несколько месяцев после запуска Starr заметил, что некоторые запросы к базе данных работают некорректно. При детальном анализе он обнаружил, что в автоматически сгенерированном бекенде присутствует скрытая уязвимость SQL‑инъекции: пользовательские параметры передаются в запрос без экранирования, позволяя злоумышленнику выполнить произвольный SQL‑код.

Эта ситуация иллюстрирует растущую проблему, связанную с «vibe‑coding» – быстрым созданием приложений при помощи генеративных моделей, таких как Vibe, GitHub Copilot, Claude и др. Хотя такие инструменты обещают ускорить разработку, они часто игнорируют лучшие практики безопасности: проверку ввода, использование параметризованных запросов и статический анализ кода.

Эксперты по кибербезопасности предупреждают, что без обязательного этапа code review и автоматических сканеров (SAST, DAST) такие уязвимости могут оставаться незамеченными, создавая потенциальные точки входа для атак. В статье The Verge (https://www.theverge.com/ai-artificial-intelligence/950844/vibe-coding-security-risks-apps) подчёркивается, что компании, предлагающие AI‑инструменты для кода, пока не предоставляют встроенных средств обнаружения подобных проблем.

Для разработчиков это сигнал: AI‑генерация кода не заменяет фундаментальные практики безопасности. Необходимо интегрировать проверку кода в CI/CD, использовать линтеры и проводить ручные ревью, особенно при работе с данными, вводимыми пользователями.