Uniknuté API kľúče
Repozitáre, kde pomáhal Copilot, mali uniknutý kľúč alebo heslo častejšie ako priemer. Za rok 2024 skončilo na verejnom GitHube 23,8 milióna secretov.
Os 0–10 %. GitGuardian, State of Secrets Sprawl 2025
Prečo kontrolovať kód od AI
Vibe coding je rýchly. Aj pre útočníkov.
Napíšeš, čo chceš, a AI postaví aplikáciu. Bez čítania kódu, bez review. Funguje to, kým to niekto nezačne skúšať prelomiť. Zhrnuli sme, čo o bezpečnosti kódu od AI hovorí výskum a čo sa už stalo v praxi.
„Úplne sa poddáš vibe, prijmeš exponenciály a zabudneš, že kód vôbec existuje.“
Andrej Karpathy, február 2025 · autor pojmu vibe coding
1 · Kvalita kódu
45%
Takmer každá druhá úloha skončí bezpečnostnou chybou
Veracode zadal viac ako 100 jazykovým modelom 80 programátorských úloh, pri ktorých sa dalo vybrať bezpečné aj nebezpečné riešenie. V 45 % prípadov model zvolil to nebezpečné a pridal do kódu zraniteľnosť z OWASP Top 10.
Novšie modely píšu syntakticky lepší kód, no bezpečnosť sa podľa správy nezlepšuje. Najhoršie dopadla Java a ochrana proti XSS a log injection.
Ako často AI zlyhala v bezpečnosti
Podiel úloh, v ktorých model vygeneroval zraniteľný kód
2 · Typ chýb
AI opraví preklepy. A pridá diery do architektúry.
Apiiro analyzovalo desiatky tisíc repozitárov vo firmách z Fortune 50. Vývojári s AI asistentom robili 3 až 4-krát viac commitov, no balili ich do menších počtov väčších pull requestov, ktoré sa ťažšie kontrolujú.
Drobné chyby ubudli. Pribudli však tie, ktoré bežný linter nezachytí: cesty k eskalácii oprávnení a chyby v návrhu. Do júna 2025 pridával kód od AI vo firmách viac ako 10 000 nových bezpečnostných nálezov mesačne, desaťkrát viac ako v decembri 2024.
Zmena počtu chýb v kóde s AI asistentom
Oproti vývojárom bez AI, v percentách
UbudloPribudlo
3 · Ľudský faktor
S AI píšeme horší kód a sme si ním istejší
Stanfordská štúdia dala 47 programátorom bezpečnostné úlohy. Tí, ktorí mali AI asistenta, napísali výrazne menej bezpečný kód, najmä pri šifrovaní a SQL dotazoch. Zároveň boli častejšie presvedčení, že ich kód je bezpečný.
Vývojári pritom AI veľmi nedôverujú. Podľa prieskumu Stack Overflow ju používa alebo plánuje používať 84 % z nich, no presnosti jej verí iba tretina. Najčastejšia sťažnosť: kód, ktorý je „takmer správny, ale nie celkom“. Presne taký kód prejde testami a zlyhá až pri útoku.
Používanie a dôvera v AI nástroje
Podiel vývojárov, Stack Overflow Developer Survey 2025
4 · Konkrétne riziká
Kľúče, balíčky a otvorené databázy
Tri chyby, ktoré sa pri vibe codingu opakujú najčastejšie. Žiadnu z nich neodhalí to, že aplikácia „funguje“.
Vymyslené balíčky
AI si vymýšľa názvy knižníc, často opakovane tie isté. Útočník ich zaregistruje so škodlivým kódom a čaká, kto ich nainštaluje. Tomu sa hovorí slopsquatting.
Os 0–100 %. 576 000 ukážok kódu, 205 474 vymyslených názvov. Spracklen a kol., USENIX Security 2025
Otvorené databázy
Aplikácie z verejnej galérie Lovable nemali zapnuté Row Level Security. Kto poznal verejný kľúč, mohol čítať aj prepisovať tabuľky s používateľmi, platbami či API kľúčmi. Bez prihlásenia.
CVE-2025-48757, CVSS 9,3. Lovable zodpovednosť spochybňuje, nastavenie je na tvorcovi aplikácie.
5 · Čo sa už stalo
Rok 2025 v skratke
Vibe coding prešiel za pár mesiacov od vtipného tweetu k slovu roka. Spolu s ním prišli aj prvé verejné incidenty.
-
Karpathy pomenuje vibe coding
Programovanie, pri ktorom človek iba opisuje, čo chce, a kód nečíta.
-
Štvrtina startupov v Y Combinator má 95 % kódu od AI
Podľa YC platí pre 25 % firiem zo zimnej várky 2025.
CNBC / NBC -
170 aplikácií z Lovable s otvorenou databázou
Zraniteľnosť CVE-2025-48757 s hodnotením 9,3 z 10.
NVD -
AI agent v Replite zmaže produkčnú databázu
Počas zmrazenia zmien zmazal záznamy o vyše 1 200 manažéroch a firmách a potom tvrdil, že obnova nie je možná. Záloha pritom existovala.
eWeek -
Veracode: 45 % kódu od AI so zraniteľnosťou
Test viac ako 100 modelov na 80 úlohách.
-
Apiiro: +322 % ciest k eskalácii oprávnení
Analýza repozitárov vo firmách z Fortune 50.
-
„Vibe coding“ je slovo roka
Vyhlásil ho slovník Collins.
CNN
6 · Čo s tým
Vibe coding nezakazuj. Kontroluj ho.
AI ti ušetrí týždne práce. Stačí, keď pred každým vydaním prejde kód kontrolou, ktorá nečaká, že je všetko v poriadku.
Nikdy nevydávaj kód, ktorý nikto neskontroloval. Ani človek, ani nástroj.
Kľúče patria do premenných prostredia, nie do kódu. A nájdi tie, ktoré už unikli.
Over každý balíček, ktorý AI pridala. Existuje? Je aktuálny? Nemá známe CVE?
Over prístup k dátam. Kto môže čítať a zapisovať do databázy bez prihlásenia?
Skenuj pravidelne. Nové zraniteľnosti v knižniciach pribúdajú každý týždeň.
| Riziko | Príklad | Čo to v Greenlit Code nájde |
|---|---|---|
| Uniknuté kľúče a heslá | Stripe kľúč natvrdo v kóde | Gitleaks |
| Injection a XSS | SQL dotaz lepený z reťazcov | SemgrepESLint securityPMD |
| Zraniteľné závislosti | lodash 4.17.15 s CVE | TrivyOSV |
| Chybná infraštruktúra | Docker kontajner ako root | Checkov |
| Chyby v SQL | Rizikové a nekonzistentné dotazy | SQLFluff |
| Logika a prístupové práva | Chýbajúca kontrola oprávnení | AI code reviewRoot cause |
Zdroje
Odkiaľ čísla pochádzajú
- Veracode: AI-Generated Code Poses Major Security Risks in Nearly Half of All Development Tasks (júl 2025)
- Help Net Security: AI can write your code, but nearly half of it may be insecure (august 2025)
- Apiiro: 4x Velocity, 10x Vulnerabilities (september 2025)
- The Register: AI code assistants and security problems (september 2025)
- Perry, Srivastava, Kumar, Boneh: Do Users Write More Insecure Code with AI Assistants? (Stanford)
- Stack Overflow Developer Survey 2025: AI
- GitGuardian: The State of Secrets Sprawl 2025
- Spracklen a kol.: We Have a Package for You! (USENIX Security 2025)
- NVD: CVE-2025-48757 · Superblocks: Lovable vulnerability explained
- eWeek: AI Agent Wipes Production Database, Then Lies About It (júl 2025)
- CNBC: Y Combinator startups are fastest growing in fund history because of AI (marec 2025)
- CNN: Vibe coding named Collins Dictionary's word of the year (november 2025)
greenlitcode.dev
Vydaj kód od AI s čistým svedomím.
Nahraj projekt a o pár minút vieš, čo opraviť pred ďalším deployom.
Skenovať môj kód