Sikkerhetsfirmaet RedAccess gikk gjennom tusenvis av webapper bygget på Lovable, Replit, Base44 og Netlify, og funnene står i en Wired-rapport gjengitt av Futurism 10. mai. 5 000 av dem hadde «praktisk talt ingen sikkerhet eller autentisering av noe slag», og hele 40 prosent eksponerte sensitive data: medisinske journaler, finansiell informasjon, bedriftsdokumenter og logger fra angivelig private chatbot-samtaler.
«Sluttresultatet er at organisasjoner faktisk lekker private data gjennom vibe-coding-applikasjoner. Dette er en av de største hendelsene noen sinne der folk eksponerer bedriftssensitiv eller annen sensitiv informasjon for hvem som helst i verden.» — Dor Zvi, medgrunnlegger i RedAccess
Problemet er strukturelt, ikke kosmetisk. Modellene genererer kode som virker, men ikke kode som er sikker. API-nøkler havner i klient-bundle, autentisering kjøres på frontend i stedet for server, og access-control-sjekker mangler helt. Plattform-svaret er talende: Netlify ignorerte henvendelsen, mens de andre la skylden på brukerne for ikke å ha konfigurert appene riktig før de gikk live.
«Hvem som helst i bedriften din kan generere en app, og dette går ikke gjennom noen utviklingssyklus eller sikkerhetssjekk», sa Zvi videre til Wired. «Folk begynner å bruke det i produksjon uten å spørre noen. Og det gjør de.» For deg som bygger egne KI-prosjekter er den praktiske implikasjonen at en vibe-kodet prototype som lever videre til produksjon, sannsynligvis bærer med seg disse hullene.
Hva bør du gjøre?
- Sjekk om dine egne KI-genererte apper har API-nøkler i bundle. Søk gjennom build-output etter prefix som
sk-,pk_,AIzaeller fulle Supabase-/Firebase-URL-er. Et minutt med grep kan avsløre uker med eksponering. - Flytt all autentisering til server-side. Hvis appen din verifiserer en token i nettleseren før den viser data, har du allerede tapt. Routes skal sjekkes på backend, og data skal hentes fra autorisert kontekst.
- Sett opp Row Level Security (RLS) på Supabase eller Firestore før du publiserer en KI-generert app. Det dekker ikke alt, men det stenger den vanligste lekkasjeklassen plattformene leverer.
Bakgrunn
Vibe-coding-plattformer som Lovable, Replit Agent og Base44 lar brukere bygge fungerende apper fra naturlig språk. Salgsargumentet er at du slipper utviklingssyklus og sikkerhetsgjennomgang. RedAccess-undersøkelsen viser at nettopp dette argumentet er årsaken til at sluttresultatet blir utrygt.