Вайбкодинг сильно упростил разработку и разгрузил наши плечи от рутины. А знаете, чьи плечи он еще разгрузил? Злоумышленников. На один из моих проектов уже более месяца идет атака ИИ-агентов
Как это выглядит
Работает рой агентов. Один сканирует сайт и то, как тот общается с API. Другой изучает само API, попутно проверяя его на все уязвимости, которые в теории могли быть допущены. Весь этот организм к тому же эволюционирует и адаптируется к моим мерам обороны
Как с этим бороться
Далеко не каждый программист осведомлен об уязвимостях, а что делать вайбкодеру, который не программист? Закладывайте аудит безопасности. Просите агента проверять за собой. Периодически запускайте полную проверку всего проекта. Полной защиты не существует, но заниматься вопросами безопасности нужно превентивно
Как с этим борюсь я
- Лимиты на запросы и капча: база. Обходится, но уже требует с злодея копеечку
- Fingerprint: история IP, User-Agent, часовой пояс, разрешение экрана и еще дюжина параметров позволяют связать между собой, казалось бы, разных пользователей
- Cloudflare: тк он точка входа, в его фаерволе настроены WAF-фильтры против совсем тупых парсеров, а также бан-листы
- Анализ запросов: автоматический бан за перебор методов API и за попытки отправить заведомо ложные или вредоносные данные (инъекции)
- План-капкан: тихая блокировка с задержкой и ложные ответы. Это вводит агента в ступор, вынуждая его тратить больше токенов
Во всей этой ситуации есть как минимум два плюса:
- Ваш проект заметили
- Кто-то за свои деньги проводит Вам аудит безопасности
Главное, чтобы найденные дыры закрывались быстрее, чем их начнут эксплуатировать Вам во вред
