🔓 ریسک امنیتی که Vibe Coding با خودش می‌آورد

سرعت وسوسه‌انگیز Vibe Coding یک قیمت پنهان دارد: کد تولیدشده اغلب کار می‌کند، اما امن نیست. این فاصله‌ی بین «کار کردن» و «امن بودن» همین حالا موضوع داغ تحقیقات امنیتی است.

📊 عدد نگران‌کننده
پژوهش Carnegie Mellon نشان داد ۶۱٪ کدهای تولیدشده با AI به‌درستی اجرا می‌شوند، اما فقط ۱۰.۵٪ از بازبینی امنیتی سربلند بیرون می‌آیند. یعنی اکثر کدهایی که «کار می‌کنند»، حفره امنیتی هم دارند.

⚖️ چرا این‌طور می‌شود؟
تست Veracode نشان داد وقتی مدل بین یک پیاده‌سازی امن و یک ناامن حق انتخاب دارد، در ۴۵٪ موارد گزینه ناامن‌تر را پیشنهاد می‌دهد؛ چون رایج‌ترین الگو در داده‌های آموزشی همیشه امن‌ترین الگو نیست.

🔬 شاهد میدانی
تیم Georgia Tech با ابزار Vibe Security Radar روی بیش از ۴۳ هزار گزارش امنیتی، ده‌ها آسیب‌پذیری بحرانی (command injection، bypass احراز هویت، SSRF) را ردیابی کرد که مستقیماً از کد AI-generated آمده بود — و روند در سال ۲۰۲۶ به‌شدت صعودی است.

💻 مثال ملموس (NestJS + TypeORM):

// ❌ الگویی که مدل‌ها گاهی پیشنهاد می‌دهند
const user = await this.repo.query(
  `SELECT * FROM users WHERE email='${email}'`
);

// ✅ همیشه پارامتری بنویس
const user = await this.repo.query(
"SELECT * FROM users WHERE email = ?",

  [email]
);

🎯 نکته طلایی: هیچ‌وقت کدی که AI نوشته را بدون یک پاس امنیتی جدا (SAST یا review دستی روی auth و input) مرج نکن. سرعت Vibe Coding نباید جای Code Review را بگیرد.

کانال آموزشی کدنایت | آموزش برنامه نویسی
https://t.me/codenight_ir

#VibeCoding #کدنایت #امنیت_کد #AI_Agent #برنامه_نویسی #NestJS
.