Vibe-coded apps lekken gevoelige gebruikersdata: AI-gestuurde software brengt beveiliging in gevaar

AI-gestuurde software: snel gebouwd, slecht beveiligd

Sinds de introductie van ChatGPT in 2022 heeft kunstmatige intelligentie talloze sectoren ingrijpend veranderd. Geen enkele industrie is echter zo sterk beïnvloed als de softwareontwikkeling. Van ervaren programmeurs tot beginners: steeds meer ontwikkelaars gebruiken AI-tools zoals chatbots en gespecialiseerde platforms om code te genereren op basis van natuurlijke taal.

Deze aanpak, bekend als vibe coding, stelt zelfs mensen zonder technische achtergrond in staat om in korte tijd volledige applicaties te bouwen. Hoewel dat indrukwekkend klinkt, brengt het ook aanzienlijke risico’s met zich mee.

Onderzoek onthult massale datalekken in AI-gemaakte apps

Een recent onderzoek van het cybersecuritybedrijf RedAccess, gepubliceerd door Wired, toont aan dat veel van deze vibe-coded apps ernstige beveiligingsfouten bevatten. De onderzoekers analyseerden duizenden webapplicaties die waren gebouwd met platforms zoals Lovable, Replit, Base44 en Netlify. De resultaten zijn verontrustend:

• 5.000 apps hadden geen enkele beveiliging of authenticatie;
• 40% van de apps lekte gevoelige gebruikersdata, waaronder medische en financiële informatie, bedrijfsdocumenten en privé-chatgesprekken met AI;

Dor Zvi, medeoprichter van RedAccess, waarschuwt:

"Organisaties lekken via vibe-coded applicaties gevoelige informatie naar de hele wereld. Dit is een van de grootste datalekken ooit, waarbij bedrijfs- en persoonlijke data onbedoeld wordt blootgesteld."

Platforms wijzen verantwoordelijkheid af

De reacties van de betrokken platforms op deze bevindingen waren teleurstellend. Netlify reageerde helemaal niet, terwijl de andere platforms de schuld bij de gebruikers legden. Zo stelde een woordvoerder van Lovable:

"We zien dit als een doorlopend probleem. Lovable biedt tools om veilig te bouwen, maar de uiteindelijke verantwoordelijkheid voor de beveiliging van een app ligt bij de maker."

Hoewel deze reactie op zichzelf niet onredelijk is, is het ook ironisch. De platforms claimen immers dat software ontwikkelen nu zo eenvoudig is als het beschrijven van een app aan een AI. In werkelijkheid is AI verre van perfect: de gegenereerde code bevat vaak fouten die alleen ervaren ontwikkelaars of beveiligingsexperts kunnen opsporen. Toch worden deze applicaties direct in productie genomen, zonder enige controle.

Zvi benadrukt:

"Iedereen in een bedrijf kan op elk moment een app bouwen en deze direct in gebruik nemen, zonder door een ontwikkelcyclus of beveiligingscheck te gaan. Mensen doen dit gewoon, en het gebeurt."

Gevolgen van slecht beveiligde AI-apps

De gevolgen van deze praktijken zijn verstrekkend. Bedrijven lopen het risico op datalekken, fraude en reputatieschade. Gebruikers van deze apps kunnen hun persoonlijke gegevens verliezen, terwijl organisaties onbedoeld gevoelige informatie openbaar maken. Bovendien ondermijnt deze trend de rol van professionele ontwikkelaars en beveiligingsexperts, die juist nodig zijn om dergelijke fouten te voorkomen.

Experts waarschuwen dat de opkomst van vibe coding een nieuwe generatie onveilige software creëert, die alleen maar groeit naarmate meer mensen deze tools gaan gebruiken. Zonder adequate beveiligingsmaatregelen en controlemechanismen kan dit leiden tot een ware hack-pocalypse.

Meer over vibe coding:

Een volledig vibe-coded besturingssysteem blijkt een bug-gevulde ramp te zijn