Большинство проектов, которые сейчас сделаны на вайбкоде — с уязвимостью.
Я даже нашел (почти я) исследование, где указывается, что 45% проектов содержат уязвимости.
Что это может значить для тебя?
— Потеря API ключей (потенциальная потеря $$$, доступов, а также могут прилететь ограничения)
— Слив данных из баз данных (есть и такие уязвимости, а если твой продукт уже релизнут и есть юзеры/клиенты, то это необходимость)
— Вероятность, что твой сервис положат (неприятно и надо тратить время на фикс)
Как же бороться с этим?
Этот пост этому и посвящен — тут я покажу тебе способы обезопасить свой проект.
Сохраняй в закладки на будущее или прямо сейчас добавляй в свой пул эти инструменты.
1. Claude Code — Security-review
Самое базовое, если ты используешь Claude для вайбкода. Она прогонит твой проект и выдаст список с приоритетами для фикса.
2. Скиллы для твоих ИИ-агентов
Самые основные, которых должно хватить тебе. Простая установка + хороший результат.
— Security Review. Скилл включается автоматически, когда ты работаешь со своими секретами, API, делаешь платежки и прочее. Много фич.
— Production Audit. Аудит для готовности выпуска. Обязателен перед деплоем в прод, получаешь список того, что требует фикса или доработки.
— Santa Method. Скилл, который создает двух субагентов с изолированным контекстом. Не буду вдаваться в подробности, просто приятное дополнение, которое поможет сохранить твой проект в безопасности.
— Trail of Bits. От компании, которая действительно занимается кибербезопасностью и делает аудиты для крупных компаний. Огромный спектр навыков для безопасности.
3. Claude + Codex
Невероятно крутая связка двух лучших ИИ-моделей для безопасности кода. Удобно работает, если ты вайбкодишь в Claude.
Скачивай OpenAI-Codex-Plugin (если работаешь в Claude). После установки открываются две команды для тебя:
— /codex:review
Базовый ревью, который ты можешь провести в своем проекте.
— /codex:adversarial-review
Более глубокое ревью, которое стоит запускать реже. Кроме багов, ищет архитектурные проблемы.
Так же можешь направить на какие-либо определенные места: /codex:adversarial-review проверь аутентификацию пользователей.
Этот метод похож на Santa-скилл, но при этом он включает в себя две разные ИИ модели, а не субагентов одной модели.
4. Онлайн-сканеры
— Semgrep. Есть бесплатный план, где ты можешь проверить свой проект. Кроме того, очень удобный дашборд + продвинутая аналитика.
— CodeRabbit. Разбирает каждый PR на GitHub. Автоматически проверяет каждый твой пуш на GitHub и после оставляет комментарий к каждой уязвимости.
Надеюсь, что помог тебе. Это очень важно и тут не стоит экономить время / токены и деньги. Сохраняй в сэйвы, пересылай другу, буду очень рад поддержке!