Telset.id – Vibe coding, praktik membuat aplikasi menggunakan perintah bahasa alami ke AI tanpa menulis kode manual, tengah menghadirkan gelombang baru risiko keamanan siber. Sejumlah insiden menunjukkan aplikasi yang dihasilkan rentan terhadap kebocoran data sensitif, mulai dari database produksi yang terbuka hingga celah SQL injection yang terlewatkan.
Fenomena ini bermula dari kemudahan yang ditawarkan oleh alat coding berbasis AI. Siapa pun kini bisa membuat aplikasi fungsional hanya dalam hitungan jam. Namun, kemudahan ini datang dengan harga yang mahal: keamanan seringkali menjadi pertimbangan belakangan, bahkan diabaikan sama sekali.
Bob Starr, seorang manajer proyek di sektor teknologi, mengalami sendiri masalah ini. Setelah berbulan-bulan meluncurkan situs “Boomberg” buatannya yang di-vibe-code, ia baru menyadari adanya risiko SQL injection yang tersembunyi. Celah itu bisa memungkinkan penyerang membaca atau mengubah data tanpa izin. “Itu adalah pengawasan mencolok dari pihak saya. Titik buta total dalam proses pembelajaran teknologi baru ini,” ujar Starr kepada The Verge.
Kerentanan di Balik Kemudahan Vibe Coding
Starr bukanlah satu-satunya korban. Jer Crane, pendiri PocketOS, melaporkan bahwa agen coding AI menghapus database produksi perusahaannya. Joe Procopio, mantan pengembang dan pengusaha serial, harus menurunkan aplikasi web yang ia buat setelah diretas. “Sekarang saya melakukan demo dengan cara kuno, dari mesin lokal saya melalui Zoom. Sangat 2023,” tulisnya.
Kekhawatiran serupa juga diungkapkan oleh Gabriel Bernadett-Shapiro, ilmuwan riset AI terkemuka di SentinelOne. Menurutnya, bahaya utama bukan pada kemampuan amatir membuat software, melainkan saat aplikasi pribadi bergeser menjadi software bisnis yang menyimpan data bersama tanpa disadari. “Momen ketika aplikasi itu menyentuh data pribadi orang lain, standarnya harus berubah,” tegasnya.
Jack Cable, CEO dan salah satu pendiri Corridor, platform keamanan untuk pengembangan software AI-native, setuju. “Vibe coding bagus untuk hal-hal berisiko rendah,” katanya, seperti prototipe atau pelacak kebugaran. Namun, catatan keuangan dan apa pun yang berada di internet publik memerlukan pengawasan lebih ketat.
Kasus Nyata Kebocoran Data
Salah satu kasus paling menonjol terjadi pada akhir Januari lalu. Matt Schlicht meluncurkan Moltbook, jaringan sosial yang sepenuhnya dibangun untuk agen AI tanpa menulis satu baris kode pun. Dalam hitungan hari, peneliti keamanan dari Wiz menemukan seluruh database produksi aplikasi itu terbuka lebar, mengekspos puluhan ribu alamat email dan pesan pribadi.
Ini bukan insiden terisolasi. Wired melaporkan bahwa peneliti dari Red Access menemukan sekitar 5.000 aplikasi yang dibangun dengan alat vibe-coding populer tanpa autentikasi. Hampir 2.000 di antaranya diduga membocorkan data sensitif seperti informasi medis, keuangan, dokumen strategi, dan log percakapan chatbot.
Untuk membandingkan, Fitur Piala Dunia 2026 di Threads, Instagram, hingga WhatsApp merupakan contoh bagaimana aplikasi mainstream mengelola keamanan data pengguna. Sementara itu, AMD Zen 6 Threadripper Mustang Peak Bocor, 144 Core dan PCIe 6.0 menunjukkan bagaimana industri hardware terus berinovasi dengan keamanan arsitektur.
Masalah Autentikasi dan Overconfidence
Bernadett-Shapiro menyoroti kurangnya autentikasi sebagai kegagalan paling mengkhawatirkan. Banyak pengembang tidak memikirkan keamanan saat memindahkan aplikasi yang berjalan di mesin lokal ke cloud dengan konfigurasi yang tidak mereka pahami. Akibatnya, data sensitif terekspos.
Masalah diperparah oleh rasa percaya diri berlebihan. Ketika alat AI mengatakan kode aman, pengembang cenderung mempercayainya. Dalam sesi vibe-coding normal, tidak ada yang secara otomatis memeriksa keamanan kecuali pengguna secara spesifik memintanya. Claude Code memiliki perintah /security-review, tetapi harus diminta secara manual. OpenAI Codex memiliki agen keamanan bawaan, tetapi ditujukan bagi pengembang dengan alur kerja version-control yang mapan.
“Banyak keamanan bersifat kontekstual,” kata Cable, memperingatkan agar tidak memiliki rasa aman palsu dari ulasan agen coding yang tidak memahami model ancaman spesifik aplikasi.
Solusi dan Harapan di Tengah Kekacauan
Meskipun ada kekhawatiran, optimisme juga muncul. Model AI seperti Mythos dari Anthropic dan GPT-5.5-Cyber mampu mengidentifikasi kerentanan yang bahkan terlewat oleh pengembang berpengalaman. OWASP telah menerbitkan standar verifikasi keamanan AI untuk organisasi. Perusahaan seperti Trail of Bits merilis “skills” paket instruksi yang mengarahkan agen coding pada tugas keamanan spesifik.
Namun, Cable mengingatkan bahwa skills bisa menjadi pisau bermata dua. Pada Februari lalu, Jason Meller dari 1Password menemukan skill paling populer di registry OpenClaw ternyata mengarahkan pengguna untuk menginstal dependensi berbahaya. “Ini masih Wild West,” katanya.
Untuk pengguna individu, Cable memberikan panduan sederhana: model yang berjalan di komputer lokal jauh lebih aman daripada yang dipublikasikan, terutama jika berisi data sensitif. “Secara harfiah, dalam semalam, cara sebagian besar perusahaan memproduksi software telah berubah total,” ujarnya.
Praktik Terbaik untuk Vibe Coding Aman
Jeff Rothblum, kepala urusan pemerintahan dan strategi di Lilt, memberikan contoh bagaimana vibe coding bisa dilakukan dengan aman. Ia membangun alat untuk menangani entri data pemerintah dengan memikirkan keamanan sejak awal. Rothblum menjalankan ulasan keamanan rutin di Claude, menjaga data pengguna tetap lokal, dan membangun menuju perlindungan retensi yang lebih ketat. Ia juga berencana membayar insinyur keamanan profesional untuk meninjau kodenya jika menangani data lebih sensitif.
“Saya senang dengan open-source dan ephemeral, tetapi semua hal lain agak menakutkan,” katanya.
Cable menambahkan bahwa idealnya kode ditinjau oleh ahli manusia, tetapi itu menjadi hambatan. Pertanyaan terbuka adalah bagaimana dunia akan terlihat ketika sebagian besar kode dikirim tanpa ada manusia yang membacanya. Sementara itu, solusi untuk pengguna biasa lebih sederhana: pikirkan data apa yang disimpan aplikasi, minta AI membangun dengan keamanan, jalankan ulasan kode setelah setiap perubahan, dan perhatikan ekstra sebelum memindahkan aplikasi ke cloud.
Baca Juga:
Perbedaan antara proyek yang menyenangkan dan kisah horor dimulai dari mengetahui pertanyaan apa yang harus diajukan. Di era di mana AI bisa membangun aplikasi dalam hitungan menit, keamanan data bukan lagi sekadar pilihan, melainkan keharusan mutlak.
Komentar
Belum ada komentar.