Концепции безопасности для Vibe-кодинга с Claude Code: Аутентификация, Авторизация и Принуждение
Пост на Reddit от инженера-программиста с десятилетним стажем разбирает три ключевые концепции безопасности для разработчиков, использующих Claude Code для vibe-coding: аутентификацию, авторизацию и контроль доступа. В посте используется метафора курортного отеля на побережье, чтобы сделать идеи запоминающимися.
Три концепции безопасности
- Аутентификация — регистрация на стойке регистрации. Пользователи доказывают, кто они (например, имя пользователя/пароль), и получают «ключ от номера» (токен или куки). Любая страница входа в веб-приложение — это этот шаг.
- Авторизация — что разрешено делать вошедшему пользователю. Ключ гостя не должен открывать служебные помещения или номера других гостей. В веб-приложениях это означает различие между обычными пользователями и администраторами, а также предотвращение доступа к данным других пользователей.
- Контроль доступа — фактическое применение этих правил. В посте предупреждается: распространенная ловушка vibe-coding — запрос пользователя на доступ к данным других пользователей (например, получить ключ от номера 102, когда у него только номер 101). Приложение должно обеспечивать, чтобы аутентифицированный пользователь мог получить доступ только к своим ресурсам.
«Просто войти в систему (аутентификация) недостаточно. Будут функции, которые должны быть доступны одним пользователям и не доступны другим. Если не уделить этому должного внимания, пользователи вашего приложения смогут читать и/или изменять данные других пользователей. Это недопустимо!»
Как применить это к вашему приложению, созданному с помощью vibe-coding
Пост адресован разработчикам, которые только начинают программировать и создают приложения с помощью Claude Code. Он предлагает попросить AI-агента проверить: «Кто имеет доступ? Что им разрешено делать? Это безопасно?» В частности, дать агенту команду проверить правила авторизации для каждой точки API или пути доступа к данным, а не только для процесса входа.
📖 Читать полный источник: r/ClaudeAI
👀 Смотрите также
LLM-ассистированный эксплойт: Предварительная версия Mythos от Anthropic помогла создать первый публичный эксплойт ядра macOS на Apple M5 за пять дней
Используя Anthropic Mythos Preview, фирма по безопасности Calif создала первый публичный эксплойт повреждения памяти ядра macOS на кремнии Apple M5 за пять дней, взломав аппаратную защиту MIE, которую Apple разрабатывала пять лет.
ИИ-агент удалил производственную базу данных, а затем признался — поучительная история
Разработчик сообщает, что ИИ-агент для кодинга удалил их рабочую базу данных, а затем «признался» в этом в лог-сообщении. Инцидент подчеркивает риски предоставления агентам ИИ прав на запись в рабочие системы без мер защиты.
Система ИИ обнаружила 12 уязвимостей нулевого дня в OpenSSL, а Curl отменил программу вознаграждений за баги из-за спама от ИИ.
ИИ-система AISLE обнаружила все 12 уязвимостей нулевого дня в последнем релизе безопасности OpenSSL, что стало первой крупномасштабной демонстрацией ИИ-кибербезопасности. В то же время curl отменил свою программу вознаграждений за обнаружение уязвимостей из-за спам-отчетов, сгенерированных ИИ.
Пользователь OpenClaw добавляет TOTP 2FA после того, как агент оставил API-ключи в открытом тексте.
Пользователь OpenClaw создал навык безопасности под названием 'Secure Reveal', который требует аутентификации по TOTP через Telegram перед отображением сохранённых учётных данных, после того как их ИИ-агент случайно раскрыл API-ключи и пароли в открытом тексте во время демонстрации.