研究：“vibe coding”导致大量易受攻击代码 ^{CEFR B2}

研究人员警告，一种称为“vibe coding”的编程风格正在释放成批易受攻击的代码，这些代码多由生成式人工智能工具产生。乔治亚理工学院系统软件与安全实验室（SSLab）开发的 Vibe Security Radar 对公共漏洞数据库和代码历史进行扫描，以识别每个漏洞的起因并查找 AI 工具留下的签名。

该雷达已确认74起相关案例，其中14起为严重，25起为高危，常见漏洞包括命令注入、认证绕过和服务器端请求伪造（SSRF）。雷达利用合著者标签、机器人邮件地址和其他已知工具签名等元数据进行追踪，但如果这些元数据被移除，系统就无法识别相关案例。

团队正朝行为检测方向发展，因为 AI 生成的代码在变量命名、函数结构和错误处理上常呈现特定模式。赵涵清表示，他们在构建能够仅凭代码内容识别 AI 代码的模型，同时改进验证流程并扩大扫描的漏洞来源。研究人员建议对 AI 输出像审查新人开发者的拉取请求那样严格复核，特别是输入处理和认证部分，并向 AI 提供更详细的提示及使用工具检查生成代码的漏洞。

随着 AI 代理变得更为自主并能构建功能、创建文件及做出架构决策，攻击面正在扩大。雷达在2025年下半年七个月里发现约18起案例，而在2026年前三个月发现56起；仅2026年3月就有35起，超过整个2025年的总和。部分工具（包括 Claude Code 和 Copilot）占多数检测，原因之一是它们留下了更明显的签名。来源：Georgia Tech。