Концепции безопасности для Vibe-кодинга с Claude Code: Аутентификация, Авторизация и Принуждение
Пост на Reddit от инженера-программиста с десятилетним стажем разбирает три ключевые концепции безопасности для разработчиков, использующих Claude Code для vibe-coding: аутентификацию, авторизацию и контроль доступа. В посте используется метафора курортного отеля на побережье, чтобы сделать идеи запоминающимися.
Три концепции безопасности
- Аутентификация — регистрация на стойке регистрации. Пользователи доказывают, кто они (например, имя пользователя/пароль), и получают «ключ от номера» (токен или куки). Любая страница входа в веб-приложение — это этот шаг.
- Авторизация — что разрешено делать вошедшему пользователю. Ключ гостя не должен открывать служебные помещения или номера других гостей. В веб-приложениях это означает различие между обычными пользователями и администраторами, а также предотвращение доступа к данным других пользователей.
- Контроль доступа — фактическое применение этих правил. В посте предупреждается: распространенная ловушка vibe-coding — запрос пользователя на доступ к данным других пользователей (например, получить ключ от номера 102, когда у него только номер 101). Приложение должно обеспечивать, чтобы аутентифицированный пользователь мог получить доступ только к своим ресурсам.
«Просто войти в систему (аутентификация) недостаточно. Будут функции, которые должны быть доступны одним пользователям и не доступны другим. Если не уделить этому должного внимания, пользователи вашего приложения смогут читать и/или изменять данные других пользователей. Это недопустимо!»
Как применить это к вашему приложению, созданному с помощью vibe-coding
Пост адресован разработчикам, которые только начинают программировать и создают приложения с помощью Claude Code. Он предлагает попросить AI-агента проверить: «Кто имеет доступ? Что им разрешено делать? Это безопасно?» В частности, дать агенту команду проверить правила авторизации для каждой точки API или пути доступа к данным, а не только для процесса входа.
📖 Читать полный источник: r/ClaudeAI
👀 Смотрите также
Google TIG сообщает о первом в реальных условиях эксплойте для нулевого дня, созданном ИИ
Группа угроз Google выявила субъект угрозы, использующий эксплойт zero-day, разработанный, как считается, с помощью ИИ, что стало первым наблюдением использования ИИ в наступательных целях для эксплуатации уязвимостей zero-day.
Аудит безопасности выявил уязвимости в эталонных серверах MCP компании Anthropic, которые создают риски, связанные с генерацией ложных данных.
Аудит безопасности 100 пакетов серверов MCP показал, что 71% получили оценку F, включая официальные референсные реализации Anthropic для GitHub и файловой системы. Аудит выявил Уязвимости на основе Галлюцинаций, которые создают бреши в безопасности и тратят токены через циклы рассуждений.
Эксперимент по проверке безопасности показывает, что производительность ИИ-агента зависит от доступа к знаниям.
Разработчик провёл три независимых аудита безопасности одного и того же кодового проекта на Next.js, используя разные подходы с ИИ: встроенная проверка безопасности Claude Code обнаружила 1 критическую, 6 высоких и 13 средних проблем; ИИ-агент без дополнительного контекста нашёл 1 критическую, 5 высоких и 14 средних; ИИ-агент с доступом к 10 профессиональным книгам по безопасности выявил 8 критических, 9 высоких и 10 средних проблем.
Исследователи Университета Торонто продемонстрировали ИИ-червя, работающего на бесплатных моделях с открытым весом
Исследователи из Университета Торонто продемонстрировали первого ИИ-червя, который адаптирует свою стратегию распространения с помощью общедоступных моделей с открытым весом, нацеливаясь на любое онлайн-устройство.