Исследователи из лаборатории Systems Software & Security Lab (SSLab) при Georgia Tech предупредили о явлении «vibe coding» — стиле программирования, при котором генеративные модели ИИ массово порождают уязвимый код. Команда просканировала более 43,000 уведомлений об уязвимостях и подтвердила 74 случая, из которых 14 классифицированы как критические и 25 как высокие. Выявленные уязвимости включают инъекции команд, обход аутентификации и server-side request forgery.
Vibe Security Radar анализирует публичные базы данных уязвимостей, определяет ошибку для каждой записи и исследует историю кода, чтобы понять, кто ввёл баг. Радар отслеживает метаданные — теги соавторов, адреса ботов и иные подписи инструментов — и помечает соответствующие записи. Однако если метаданные удалили, обнаружение по ним невозможно.
Исследователи, в том числе аспирант Ханьцин Чжао (Hanqing Zhao), отмечают, что модели ИИ склонны повторять одни и те же ошибки, поэтому миллионы разработчиков, использующих одни и те же модели, получают одинаковые баги в разных проектах. Команда движется к поведенческому обнаружению: по структуре функций, названиям переменных и способу обработки ошибок можно распознать код, сгенерированный ИИ, даже без метаданных.
Радар зафиксировал рост случаев по времени: около 18 в семь месяцев во второй половине 2025 года, затем 56 в первые три месяца 2026 года; в марте 2026 года было 35 случаев — больше, чем за весь 2025 год вместе взятый. Наибольшее число обнаружений связано с Claude Code и Copilot, отчасти потому, что они оставляют явные подписи. SSLab советует давать ИИ подробные подсказки и использовать инструменты для проверки сгенерированного кода, а также тщательно проверять ввод и аутентификацию перед выкатом в продакшен.
Source: Georgia Tech
Сложные слова
- уязвимость — слабое место в программе, которое можно использовать для атакиуязвимостей, уязвимости
- метаданные — дополнительная информация о записи или файле
- инъекция команд — вставка вредоносных команд в программуинъекции команд
- аутентификация — процесс проверки личности или прав доступааутентификации
- поведенческое обнаружение — метод поиска по поведению кода, не по меткамповеденческому обнаружению
- подпись — короткая отметка или знак, указывающий источникподписи
Подсказка: наведите, сфокусируйтесь или нажмите на выделенные слова, чтобы увидеть краткие определения прямо во время чтения или прослушивания.
Вопросы для обсуждения
- Почему, по мнению исследователей, одни и те же ошибки появляются в разных проектах при использовании одних и тех же моделей ИИ?
- Какие преимущества и недостатки у поведенческого обнаружения по сравнению с обнаружением по метаданным?
- Какие практические шаги могут снизить риск внедрения уязвимого кода из генеративных моделей ИИ в production?
Похожие статьи
Точные прогнозы погоды могут снизить смертность от жары
Исследование показывает: более точные и своевременные прогнозы дают людям время защитить здоровье и при благоприятном развитии технологий могут снизить число смертей от жары к 2100 году. Авторы используют данные наблюдений и моделирование.
ИИ на маммограммах выявляет риск заболеваний сердца
Ретроспективное исследование показало, что искусственный интеллект, анализируя маммограммы, выявляет отложения кальция в артериях груди, связанные с повышенным риском сердечно‑сосудистых заболеваний. Авторы советуют обсуждать результаты с лечащим врачом.
