Käyttöjärjestelmä: Tervetuloa C-Mimmi-O:on, jossa kysymme tänään kysymyksen, jota vibekoodausyhteisö on hiljaa vältellyt: mitä tapahtuu julkaisun jälkeen?
Mara: Mirva Saarijärvellä on yksityiskohtainen vastaus. Käsittelemme tekoälyn tuottamaan koodiin upotettuja tietoturvariskeja, sen rakennustyökaluja kohdistuvia hyökkäystekniikoita sekä sitä, mitä EU:n kyberkestävyyssäädös merkitsee kenelle tahansa, joka julkaisee tuotetta juuri nyt.
Käyttöjärjestelmä: Aloitetaan itse riskeistä – ja siitä, miksi uhkaympäristö muuttui heti, kun sovelluskehittäjät alkoivat käyttää samoja tekoälytyökaluja kuin hyökkääjät.
Vibecoding-turvallisuus: Mitä tekoäly jätti lukitsematta
Mara: Tässä jännitteessä on kyse tietystä symmetriasta: samat tekoälyagenttien kyvyt, joiden avulla voit rakentaa nopeasti, ovat niitä, joita hyökkääjät käyttävät nyt liikkuakseen nopeammin, halvemmalla ja suuremmassa mitassa.
Käyttöjärjestelmä: Kirjoitus sanoo sen suoraan. Palo Alto Networksin tutkijat esittivät osuvan ennustuksen: “yhdellä ainoalla hyvin laaditulla kehotteen injektiolla hyökkääjällä on komennossaan autonominen sisäpiirin toimija, joka voi suorittaa huomaamattomasti kauppoja, poistaa varmuuskopioita tai siirtyä varastamaan koko asiakastietokannan.”
Mara: Lopputulos on siis se, että suojaamaton tekoälyagenttisi ei ole pelkkä passiivinen kohde – se voidaan kääntää hyökkääjän välineeksi omassa järjestelmässäsi. Se on uhkamalli, jota useimmat fiiliskoodarit eivät ole ottaneet huomioon.
Käyttöjärjestelmä: Eivätkä haavoittuvuudet tule pelkästään ulkopuolelta. Veracoden tutkimus, jossa tarkasteltiin yli 150:tä tekoälymallia, osoitti, että 45 prosenttia luodusta koodista sisältää OWASP Top 10 -haavoittuvuuksia. Koodi kääntyy. Se toimii. Se ei vain ole turvallista.
Mara: Tenzain tutkimuksessa testattiin viittä suurta vibecoding-työkalua – joukossa Claude Code, Cursor, Replit ja Devin – rakentamalla kullakin samat kolme sovellusta. He löysivät 15 sovelluksesta 69 haavoittuvuutta, mukaan lukien kriittisen tason puutteita. Erillisessä Escape.tech-tutkimuksessa, joka koski 5 600:aa vibecoded-sovellusta, löydettiin yli 2 000 haavoittuvuutta ja yli 400 paljastunutta salaisuutta.
Käyttöjärjestelmä: Moltbook-tapaus toimii tässä tapaustutkimuksena. Tekoälyagenttien sosiaalinen verkosto vuoden 2026 alussa, kunnes Wiz havaitsi väärin konfiguroidun Supabase-tietokannan paljastaneen 1,5 miljoonaa API-avainta ja 35 000 käyttäjän sähköpostiosoitetta. Ei mikään kehittynyt hyökkäys – nopeus etusijalla -oletusasetukset, ei tietoturvatarkastusta ennen tuotantoon siirtymistä.
Mara: Käytännön korjaus alkaa ennen kuin kirjoitat ainoatakaan ominaisuuskehotetta. Julkaisu tarjoaa tietoturvajärjestelmän kehotepohjan – pysyvän ohjeistuksen, jonka lataat vibekoodausympäristöösi ja joka ohjeistaa tekoälyä olemaan koskaan kovakoodaamaantunnistetietoja, validoimaan kaikki syötteet, käyttämään parametroituja kyselyitä, toteuttamaan nopeusrajoituksen ja tarkistamaan tulosteen OWASP Top 10 -listaa vasten ennen sen esittämistä.
Käyttöjärjestelmä: Ja sitten suoritat seurantakehotteita jokaisen ominaisuuden jälkeen. Cloud Security Alliance suosittelee erityisesti ketjuajattelukehotteita: pyydä tekoälyä perustelemaan tietoturvavaikutukset ennen koodin kirjoittamista, ei sen jälkeen.
Mara: Työkalujen puolella: Dependabot on ilmainen perusasia, joka jokaisella GitHubissa isännöidyllä projektilla tulisi olla käytössä ennen ensimmäistäkään julkista käyttäjää. Aikido kattaa staattisen analyysin, riippuvuuksien tarkistuksen, salaisuuksien tunnistuksen ja dynaamisen testauksen yhdellä alustalla. Snyk havaitsee haavoittuvuudet jopa 47 päivää ennen julkista tietokantaa – millä on väliä silloin, kun tekoälytyökalut suosittelevat paketteja ilman versionumerojen lukitsemista.
Käyttöjärjestelmä: Kokonaisuudella on myös sääntelyyn liittyvä ulottuvuus, joka tekee tästä kaikesta eurooppalaisille kehittäjille pakollista. EU:n kyberkestävyyssäädös edellyttää oletusarvoisesti turvallisia tuotteita, jatkuvaa haavoittuvuuksien hallintaa ja ilmoitusta tietoturvaloukkauksesta 24 tunnin kuluessa – ja se koskee yksinyrittäjiä ja pieniä tiimejä, ei pelkästään suuria yrityksiä.
Mara: Kirjoitus kehyttää CRA-vaatimustenmukaisuuden enemmän kuin pelkkänä lainopillisena velvoitteena. B2B-ostajille Suomessa, Saksassa ja Alankomaissa tietoturvatila on osa hankintaarviointia. "Vibecoded"-tuote, joka pystyy osoittamaan jatkuvaa skannausta ja GDPR:n mukaisia käytäntöjä, on käytännössä uskottavampi toimittaja.
Käyttöjärjestelmä: Rakenna nopeasti, rakenna turvallisesti ja kerro sitten ihmisille tehneesi molemmat – se on tässä se todellinen kilpailuetu.
Mara: Punaisena lankana on, että vibecodingin nopeusetu pätee vain, jos toimitetusta tuotteesta ei tule rasitetta viikolla julkaisun jälkeen.
Käyttöjärjestelmä: Turvallisuus markkinointivalttina – siinä on näkökulman muutos, jonka äärelle kannattaa pysähtyä. Lisää luvassa.
Vastaa