Czy Vibe Coding jest bezpieczny?

Świat oszalał na punkcie tworzenia aplikacji za pomocą sztucznej inteligencji. Narzędzia takie jak Lovable czy Cursor biją rekordy popularności, a w internecie roi się od kursów obiecujących, że każdy – nawet osoba nietechniczna – może stworzyć dochodowy startup, wpisując jedynie odpowiednie komendy (prompty). Zjawisko to zyskało miano "vibe codingu". Jednak czy powierzenie tworzenia oprogramowania amatorom uzbrojonym w AI jest bezpieczne?

Często powtarzam: cyberbezpieczeństwo to znacznie więcej niż temat IT. To temat przetrwania Twojego biznesu i ochrony danych Twoich klientów. A w świecie vibe codingu, gdzie liczy się „vibe” i szybkość, o bezpieczeństwie zapomina się najczęściej.

Wygląda, że działa

Wyobraź sobie, że budujesz dom. AI to taki murarz-hydraulik-malarz, który kładzie cegły w ekspresowym tempie. Ściany stoją, są proste, nawet ładnie pomalowane. Wygląda super, prawda? Problem w tym, że zapomniał on o fundamentach, a instalacja elektryczna jest podpięta pod rynny. Tak długo, jak nie wieje wiatr i nie pada deszcz – dom stoi. Ale pierwsza burza zrówna go z ziemią.

Głównym problemem jest tutaj brak wiedzy technicznej twórcy. Osoba, która nie jest programistą, po prostu nie wie, o co powinna zapytać sztuczną inteligencję w kontekście bezpieczeństwa.

"Jak pisałeś aplikację za pomocą prompta, to czy napisałeś: pamiętaj, aby formularze były zabezpieczone przed XSS-em, albo żeby nie dało zrobić się SQL injection?".

Dokładnie tak działa kod generowany przez AI dla osób nietechnicznych. Aplikacja „klika się”, formularze działają, ale pod maską najczęściej nie ma żadnych zabezpieczeń, co w efekcie kończy się wyciekiem danych użytkowników. W kodzie zostają potężne dziury:

• Brak weryfikacji danych: AI może wygenerować formularz, który „łyka” wszystko. To otwarta brama dla ataków typu SQL Injection, gdzie haker zamiast nazwiska wpisuje złośliwą komendę i pobiera całą Twoją bazę danych.

• Brak szyfrowania: AI często idzie na łatwiznę. Hasła Twoich użytkowników mogą być zapisywane jawnym tekstem. Jeden wyciek i masz na głowie prokuraturę i kary z RODO.

Halucynacje AI

Osoby nietechniczne traktują AI jak wyrocznię. Jeśli ChatGPT, Cursor, Bolt.new czy Windsurf podają gotowy skrypt, zakładamy, że jest poprawny. To błąd! AI to nie kalkulator, to silnik statystyczny, który czasem... zmyśla.

Zjawisko to nazywamy halucynacjami. AI może zasugerować użycie biblioteki (gotowego modułu kodu), która w rzeczywistości nie istnieje. I tu pojawia się kluczowe pytanie: skąd Ty, jako osoba nietechniczna, masz wiedzieć, że to pułapka?

Dla Ciebie to tylko kolejna linijka tekstu, którą kopiujesz do terminala. Jeśli AI powie: „zainstaluj pakiet super-secure-auth-pro”, zrobisz to. Co gorsza, Twoja aplikacja może na początku działać poprawnie, bo AI stworzyło szkielet, który "udaje", że wszystko jest w porządku.

To stwarza pole do ataku zwanego slopsquattingiem. Hakerzy badają, jakie nieistniejące nazwy bibliotek najczęściej zmyśla AI, a następnie tworzą je i wrzucają do sieci z ukrytym, złośliwym kodem. W momencie, gdy instalujesz taką "halucynację" w swoim projekcie, dajesz hakerowi klucze do swojego królestwa. On przejmuje kontrolę, a Ty nawet nie zauważasz błędu, bo przecież „vibe” się zgadza i program się uruchomił. Ryzyko pozostaje identyczne, bez względu na to, czy używasz prostego czatu, czy zaawansowanego agenta jak Replit Agent.

Dane osobowe, dane wrażliwe

Vibe coding kusi wizją „zero kosztów”, ale rzeczywiste koszty mogą pojawić się po pierwszym wycieku. Jeśli Twoja aplikacja zbiera dane chociaż jednej osoby, stajesz się administratorem danych osobowych. W tym momencie wchodzisz w świat RODO i realnej odpowiedzialności prawnej.

Problem wykracza poza samo AI, bo często powielamy złe nawyki z "analogowego" świata. Standardem w wielu firmach (np. ubezpieczeniowych czy u najemców mieszkań) wciąż jest przesyłanie zdjęć dowodów osobistych przez WhatsAppa czy Messengera. To prosta droga do katastrofy.

W przypadku vibe codingu i automatyzacji to ryzyko rośnie skokowo. Amatorzy tworzą systemy, które zbierają niezwykle wrażliwe informacje – numery kart kredytowych, skany dokumentów czy dane medyczne – nie mając zielonego pojęcia o szyfrowaniu czy bezpiecznym przechowywaniu tych danych.

• Czy wiesz, gdzie fizycznie znajdują się serwery Twojej aplikacji?
• Czy Twoja baza danych jest "widoczna" z każdego miejsca w internecie?
• Czy sprawdziłeś, czy Twój prompt nie zawierał kluczy API (haseł do innych usług), które teraz są częścią bazy treningowej modelu?

Pamiętaj, że dla hakerów nie liczy się Twój „vibe”, tylko łatwy łup. Wyciek bazy danych z aplikacji stworzonej przez amatora, która przechowuje numery kart bez żadnego zabezpieczenia, to dla nich najprostszy możliwy scenariusz.

Prawdziwe koszta Vibe Codingu

Współczesny marketing sprzedaje vibe coding jako „Święty Graal” biznesu – obietnicę, że bez wiedzy technicznej postawisz startup za grosze. W programach mentoringowych, w których biorę udział, regularnie spotykam osoby zafascynowane tymi reklamami. Myślą, że za 200 zł i w dwa wieczory stworzą aplikację na poziomie potężnego portalu aukcyjnego.

Ich entuzjazm zazwyczaj gaśnie w momencie, gdy zaczynamy rozmawiać o fundamentach: RODO, szyfrowaniu bazy danych, audytach czy setkach niezbędnych testów bezpieczeństwa, infrastrukturze serwerowej, administracji serwerami, kopiach zapasowych... i tak dalej.

Okazuje się wtedy, że AI wygenerowało jedynie „ładny obrazek”, a nie bezpieczny produkt, który można pokazać światu.

Wielu przedsiębiorców bagatelizuje te kwestie, traktując bezpieczeństwo jako zbędny koszt lub „problem dla informatyków”. Wychodzą z założenia, że ewentualna kara z urzędu to tylko wkalkulowane ryzyko prowadzenia biznesu. Często jednak powtarzam, że grzywna to najmniejszy problem. Gdy o tym nie pomyślisz na starcie, Twoja „tania” aplikacja szybko stanie się Twoim najdroższym błędem, a oszczędności poczynione na deweloperach znikną przy pierwszej próbie ataku.

Prawdziwym kosztem ignorancji jest:

• Kary finansowe i prawne: Wysokie grzywny z UODO za nieprzestrzeganie RODO to realne ryzyko, które może zamknąć małą firmę w jeden dzień.
• Utrata reputacji i zaufania: Klienci nigdy nie wrócą do firmy, która dopuściła do wycieku ich danych. Zaufanie buduje się latami, a traci w sekundę.
• Paraliż biznesu: Po ataku musisz „posprzątać”, co może trwać miesiącami. W tym czasie nie sprzedajesz, nie obsługujesz klientów i tracisz rynek na rzecz konkurencji.
• Ucieczka pracowników: Nikt nie chce pracować w firmie kojarzonej z niekompetencją i wyciekami danych.

Traktowanie cyberataku powinno przypominać przygotowanie na pożar – musimy mieć gaśnice i procedury, a nie liczyć na to, że ogień nas ominie.

Iluzja łatwego zarobku

awsze ostro punktuję rynek kursów typu "Zostań deweloperem AI w tydzień". Według mnie jest to po prostu sprzedawanie marzeń. Gdyby wiedza zawarta w kursie za 200 zł rzeczywiście pozwalała zarabiać 60 tysięcy miesięcznie, twórcy kursów sami by z niej korzystali, zamiast szkolić innych.

Szczególnie niebezpieczni są "edukatorzy", których często widuję na konferencjach poświęconych marketingowi i social media. To ludzie, którzy sami nie mają absolutnie żadnej wiedzy technicznej, a uczą innych, jak budować skomplikowane automatyzacje AI.

Widok slajdu, na którym taki „ekspert” dumnie prezentuje swój proces automatyzacji, pokazując przy tym publicznie własne klucze API do usług, to niestety smutna norma.

To sytuacja, w której osoba ucząca innych "oszczędności" sama wystawia się na nieograniczone koszty i kradzież danych. Taka pseudo-edukacja prowadzi do "pączkowania" błędów i tworzenia całego ekosystemu dziurawych, skrajnie niebezpiecznych rozwiązań cyfrowych, które w rękach nieświadomych marketerów stają się tykającą bombą.

Wpadają także eksperci

Mogłoby się wydawać, że opisane wyżej zagrożenia dotyczą tylko laików. Niestety, „vibe” jest tak silny i kuszący, że potrafi uśpić czujność nawet u osób z ogromnym doświadczeniem. Doskonałym przykładem jest niedawna historia Jakuba Mrugalskiego, którą opisała redakcja Zaufana Trzecia Strona.

Jakub, ekspert od infrastruktury i bezpieczeństwa, eksperymentował z vibe codingiem, budując rozwiązania przez długie prowadzenie AI promptami zamiast klasycznego pisania kodu linijka po linijce. Efekt? W trakcie tych eksperymentów część artefaktów (kod, konfiguracja) trafiła w miejsce, gdzie była publicznie dostępna – zjawisko to można nazwać „vibe hostingiem”.

Z3S wykorzystało to jako studium przypadku: jeśli specjalista, bawiąc się nowymi narzędziami, może przypadkiem wystawić na świat wrażliwe dane czy wewnętrzny kod, to co ma powiedzieć amator? Problem polega na tym, że vibe coding obniża próg wejścia i drastycznie przyspiesza prototypowanie, ale nie usuwa problemów technicznych.

Morał jest prosty: skanery i łowcy wpadek znajdują takie błędy bez większego wysiłku. Vibe coding i vibe hosting są świetne do budowania zabawek lub bardzo wczesnych prototypów (MVP), ale jeśli wchodzisz w produkcję lub operujesz na danych innych ludzi, musisz wrócić do klasycznej higieny:

• Code review: Ktoś (lub inny proces) musi sprawdzić, co wypluło AI.
• Asset hygiene: Pilnowanie, by sekrety i konfiguracja nie wyciekły do publicznych katalogów.
• Audyty i monitoring: Stałe sprawdzanie, czy to, co zbudowaliśmy „na vibe”, nie jest otwartą bramą dla hakerów.

Na sam koniec

Sztuczna inteligencja to potężne narzędzie, ale powinna być traktowana jako „Co-pilot” (drugi pilot), a nie autopilot. Może ona wydatnie pomóc doświadczonemu deweloperowi w żmudnych, powtarzalnych zadaniach, ale nigdy nie zastąpi architekta systemu, który widzi szerszy obraz.

Dla firm i użytkowników kluczowa jest dziś edukacja i zmiana mentalności. Cyberbezpieczeństwo nie zaczyna się od drogich firewalli, ale od prostych nawyków: weryfikacji linków, nieklikania w podejrzane załączniki i stosowania zasady ograniczonego zaufania. Jak często powtarzam: „Lepiej mieć polisę i z niej nie skorzystać, niż nie mieć, a potrzebować”.

Zanim więc wdrożysz swój pomysł w życie, pamiętaj o kilku zasadach:

• Zasada ograniczonego zaufania: Nigdy nie kopiuj kodu bezmyślnie. Jeśli coś wydaje się zbyt proste, prawdopodobnie pominęło kwestie bezpieczeństwa.
• Weryfikuj biblioteki: Jeśli AI każe Ci coś zainstalować, wpisz nazwę tego pakietu w Google lub na stronie npmjs.com. Jeśli ma zero pobrań, powstał wczoraj lub nie ma żadnej dokumentacji – nie dotykaj go!
• Pomyśl o danych: Nigdy nie zbieraj danych, których nie potrafisz zabezpieczyć. Jeśli Twoja aplikacja wymaga numerów kart lub PESEL-i, a Ty nie wiesz, jak działa szyfrowanie AES-256 – poproś o pomoc specjalistę.
• Edukacja przede wszystkim: Cyberbezpieczeństwo to nowa Pierwsza Pomoc. Musisz znać podstawy, żeby nie zrobić krzywdy sobie i innym.

Vibe coding to rewolucja, ale każda rewolucja ma swoje ofiary. Nie pozwól, by Twój startup był jedną z nich tylko dlatego, że „vibe” był ważniejszy niż bezpieczeństwo. Kodowanie z AI jest jak jazda samochodem – daje wolność i szybkość, ale tylko wtedy, gdy wiesz, gdzie są hamulce i zapinasz pasy.

Jeśli nie masz pewności, czy Twój projekt jest bezpieczny – nie publikuj go dla świata. Prowizorki w sieci mszczą się szybciej, niż myślisz.