AI-generert kode er her for å bli. Er vi mindre trygge som et resultat?

Koding i 2025 handler ikke om å slite over fragmenter eller tilbringe lange timer på feilsøking. Det er en helt annen vibe. AI-generert kode utgjør majoriteten av koden i fremtidige produkter og har blitt et essensielt verktøy for den moderne utvikleren. Kalt “vibe coding”, vil bruk av kode generert av verktøy som Github Copilot, Amazon CodeWhisperer og Chat GPT være normen og ikke unntaket i å redusere byggetid og øke effisiens. Men risikerer lettelsen av AI-generert kode en mørkere trussel? Øker generativ AI sårbarheter i sikkerhetsarkitektur eller finnes det måter for utviklere å “vibe code” trygt?

“Sikkerhetshendelser som et resultat av sårbarheter i AI-generert kode er ett av de minst diskuterte emnene i dag,” sa Sanket Saurav, grunnlegger av DeepSource. “Det finnes fortsatt mye kode generert av plattformer som Copilot eller Chat GPT som ikke får menneskelig gjennomgang, og sikkerhetsbrudd kan være katastrofale for selskaper som er berørt.”

Utvikleren av en åpen kildekodeplattform som bruker statisk analyse for kodekvalitet og sikkerhet, Saurav nevnte SolarWinds-hacket i 2020 som en type “utryddelseshendelse” som selskaper kunne møte hvis de ikke har installert riktige sikkerhetsvaktler når de bruker AI-generert kode. “Statiske analyser muliggjør identifisering av usikre kodepatroner og dårlige kodepraksiser,” sa Saurav.

Angrepet gjennom biblioteket

Sikkerhetstrusler mot AI-generert kode kan ta oppfinnsomme former og kan rettes mot biblioteker. Biblioteker i programmering er nyttige gjenbrukbare kode som utviklere bruker for å spare tid når de skriver.

De løser ofte vanlige programmeringsoppgaver som å håndtere databaseinteraksjoner og hjelper programmere med å ikke måtte skrive kode fra scratch.

En slik trussel mot biblioteker er kjent som “hallusinasjoner”, der AI-generert kode viser en sårbarhet gjennom å bruke fiktive biblioteker. En annen mer nylig linje av angrep på AI-generert kode kalles “slopsquatting” der angripere kan rette seg direkte mot biblioteker for å infiltrere en database.

Å møte disse truslene head-on kan kreve mer bevissthet enn det som kan antydes av begrepet “vibe coding”. Professor Rafael Khoury har fulgt utviklingen i sikkerheten til AI-generert kode nøye og er sikker på at nye teknikker vil forbedre dens sikkerhet.

I en artikkel fra 2023 undersøkte Professor Khoury resultater av å be ChatGPT om å produsere kode uten noen ytterligere kontekst eller informasjon, en praksis som ledet til usikker kode. Det var de tidlige dagene med Chat GPT og Khoury er nå optimistisk om fremtiden. “Siden da har det vært mye forskning under gjennomgang nå og fremtiden ser ut til å se på en strategi for å bruke LLM som kunne lede til bedre resultater,” sa Khoury, og la til at “sikkerheten blir bedre, men vi er ikke på et sted hvor vi kan gi en direkte prompt og få sikker kode.”

Khoury gikk videre og beskrev en løftende studie hvor de genererte kode og deretter sendte denne koden til et verktøy som analyserer den for sårbarheter. Metoden brukt av verktøyet kalles Finding Line Anomalies with Generative AI (eller FLAG for kort).

“Disse verktøyene sender FLAG som kan identifisere en sårbarhet i linje 24, for eksempel, som en utvikler deretter kan sende tilbake til LLM med informasjonen og be det om å se på det og fikse problemet,” sa han.

Khoury foreslo at denne frem-og-tilbake-bevegelsen kunne være avgjørende for å fikse kode som er sårbar for angrep. “Denne studien antyder at med fem iterasjoner kan du redusere sårbarhetene til null.”

Dette sagt, er FLAG-metoden ikke uten problemer, særlig fordi den kan gi opphav til både falske positiver og falske negativer. I tillegg til dette finnes det også begrensninger i lengden av kode som LLM kan lage, og handlingen med å kombinere fragmenter sammen kan legge til en ekstra lag med risiko.

Å holde mennesket i løkken

Noen aktører innen “vibe coding” anbefaler å fragmentere kode og sikre at mennesker holder seg front og senter i de viktigste redigeringene av en kodebase. “Når du skriver kode, tenk i termer av commits,” sa Kevin Hou, leder for produktutvikling i Windsurf, og rost visdommen av bite-sized deler.

“Del en stor prosjekt inn i mindre deler som ville normalt være commits eller pull-forespørsler. La agenten bygge den mindre skalaen, en isolert funksjon om gangen. Dette kan sikre at kodeutgangen er godt testet og godt forstått,” la han til.

På tidspunktet for skriving hadde Windsurf nærmet seg over 5 milliarder linjer AI-generert kode (gjennom sin tidligere navn Codeium). Hou sa at det mest presserende spørsmålet de svarte på var om utvikleren var bevisst på prosessen.

“AI er i stand til å gjøre mange redigeringer over mange filer samtidig, så hvordan kan vi sikre at utvikleren faktisk forstår og gjennomgår hva som skjer, i stedet for bare å blindt akseptere alt?” spurte Hou, og la til at de hadde investert tungt i Windsurfs brukergrensesnitt “med en mengde intuitive måter å holde fullt i takt med hva AI gjør, og å holde mennesket fullt i løkken.”

Hvilket er hvorfor, når ” vibe coding ” blir mer mainstream, må menneskene i løkken være mer forsiktige med dens sårbarheter. Fra “hallusinasjoner” til “slopsquatting”-trusler, er utfordringene reelle, men løsningene også.

Fremvoksende verktøy som statisk analyse, iterative forbedringsmetoder som FLAG, og omtenksomt brukergrensesnitt viser at sikkerhet og hastighet ikke behøver å være gjensidig exclusive.

Nøkkelen ligger i å holde utviklere engasjert, informert og i kontroll. Med riktige sikkerhetsvaktler og en “tillit men verifiser” holdning, kan AI-assistert koding være både revolusjonerende og ansvarlig.