Telset.id – Vibe coding memang populer, tetapi praktik ini menyimpan risiko keamanan serius seperti database yang terekspos, API yang bocor, hingga serangan prompt injection. Pertanyaannya, adakah cara agar vibe coding tetap aman digunakan di lingkungan produksi? Softr, platform no-code app builder, menawarkan solusi hybrid dengan menggabungkan fitur vibe coding di atas infrastruktur keamanan yang sudah teruji.
Shiran Brodie, Head of Growth di Softr, menjelaskan bahwa perusahaan memilih pendekatan berbeda dari platform vibe coding lain. Alih-alih membiarkan AI menghasilkan seluruh kode aplikasi dari nol, Softr mempertahankan backend, hosting, integrasi, dan manajemen izin yang sudah ada. Pendekatan ini disebut visual scaffolding, di mana AI hanya digunakan untuk menambah fleksibilitas desain dan otomatisasi alur kerja, sementara sistem inti tetap aman.
Data dari perusahaan keamanan Escape DAST pada 2025 menunjukkan betapa rentannya aplikasi hasil vibe coding. Dari 5.600 aplikasi yang dianalisis, lebih dari 2.000 aplikasi memiliki masalah keamanan, termasuk 2.038 kerentanan kritis dan lebih dari 400 kredensial yang terekspos. Angka ini menegaskan bahwa kemudahan yang ditawarkan vibe coding sering kali mengorbankan aspek keamanan yang krusial.
“Masalahnya adalah platform ini menghasilkan kode mentah dari nol,” jelas Brodie. “Vibe coding memang menyederhanakan proses pembuatan, tetapi pengguna non-teknis tidak menyadari risiko yang mengintai di balik kemudahan tersebut.”
Vibe Coding dan Ancaman Keamanan yang Mengintai
Riset dari Georgia Tech pada 2025 melalui Vibe Security Radar menemukan 43 kerentanan kritis di delapan platform vibe coding. Kerentanan ini mencakup command injection, server-side request forgery, dan authentication bypass. Bahkan pada awal 2026, analis keamanan menemukan kebocoran API besar-besaran dari platform milik Meta dan komunitas Hugging Face, yang sebagian besar disebabkan oleh kode yang dihasilkan AI tanpa pengamanan yang memadai untuk kunci API pribadi.
Menurut Brodie, akar masalahnya adalah vibe coding menyerahkan terlalu banyak infrastruktur inti kepada generasi AI, termasuk integrasi pihak ketiga dan sistem manajemen izin. Padahal, komponen-komponen inilah yang menjadi sumber utama kerentanan. Kondisi ini diperparah dengan maraknya ancaman shadow AI di lingkungan perusahaan.
Fenomena shadow AI terjadi ketika karyawan menggunakan akun pribadi untuk menjalankan alat AI seperti Claude Code atau Gemini dengan akses penuh ke database perusahaan. Platform AI coding menawarkan batas penggunaan yang besar bahkan untuk akun pribadi, sehingga karyawan dapat membangun aplikasi tanpa melalui sistem persetujuan terpusat. Riset RedAccess menemukan lebih dari 5.000 aplikasi vibe coding yang dapat diakses publik, dengan 2.000 di antaranya membocorkan data sensitif pelanggan seperti informasi keuangan dan medis.
Baca Juga:
Softr menanggapi tantangan ini dengan membatasi kode hasil AI dalam blok komponen tertentu. Berbeda dengan iframe yang terisolasi penuh, kode AI di Softr tetap berada dalam infrastruktur perusahaan dengan pembatasan yang jelas. “Blok-blok ini dibangun untuk beroperasi dalam infrastruktur kami,” kata Brodie, menegaskan bahwa fleksibilitas tetap diberikan tanpa mengorbankan keamanan.
Pendekatan serupa juga diadopsi platform lain. Framer menawarkan fitur Workshop berbasis AI yang dapat menangani tugas pemeliharaan, sementara FlutterFlow memungkinkan pengguna membuat halaman dengan guardrail keamanan yang sudah terpasang. Model ini membuktikan bahwa visual scaffolding menjadi tren yang diadopsi industri untuk menyeimbangkan kemudahan dan keamanan.
MCP dan Tantangan Kontrol Akses di Era AI
Model Context Protocol (MCP), standar open-source dari Anthropic, menjadi perhatian baru dalam keamanan vibe coding. Masalah utamanya, konektor MCP mewarisi struktur izin yang sama dengan database atau aplikasi yang terhubung. Softr mengatasi ini dengan sistem manajemen database sendiri yang memungkinkan kontrol penuh terhadap apa yang bisa diakses MCP.
“Saya menggunakan konektor MCP milik Claude untuk membaca dan menulis langsung ke Softr Databases, tapi ini aman karena database saya diatur oleh izin dan aturan yang diterapkan di Softr,” jelas Brodie. Sebaliknya, banyak platform vibe coding memberikan akses langsung ke database mentah tanpa lapisan izin, membuat serangan prompt injection semakin mungkin terjadi.
Softr menawarkan lebih dari 60 integrasi pre-coded ke platform seperti HubSpot, Stripe, dan ClickUp yang sudah dibangun dengan standar keamanan. Pengguna juga dapat terhubung ke Zapier atau Make untuk otomatisasi yang lebih luas, dengan tingkat keamanan yang lebih baik dibandingkan MCP standar.
Perbedaan kebutuhan keamanan antara usaha kecil dan enterprise juga menjadi perhatian. Startup biasanya cukup dengan manajemen izin dasar dan enkripsi data, sementara enterprise membutuhkan kepatuhan GDPR dan SOC II, kontrol lokasi pusat data, serta autentikasi multi-faktor dan single sign-on. Softr dan platform lain seperti Retool dengan sertifikasi SOC II Type 1, serta WaveMaker dengan LDAP-based authentication, mulai menjawab kebutuhan ini.
“Tidak ada organisasi yang ingin merekrut atau melatih lebih banyak developer hanya untuk menjaga keamanan satu alat internal,” ujar Brodie. Dengan meningkatnya insiden keamanan publik di ruang AI coding, platform no-code terus mencari cara menawarkan fleksibilitas tanpa menghadirkan kompleksitas yang justru membuat pengguna beralih ke vibe coding. Tren ini juga mendorong kolaborasi seperti Superblocks bersama AWS untuk menghadirkan vibe coding di cloud privat.
Ke depannya, keamanan vibe coding akan sangat bergantung pada kemampuan platform dalam menerapkan kontrol akses yang lebih baik dan visibilitas bagi administrator sistem. Dengan pandangan menyeluruh tentang siapa yang memiliki akses ke data apa, skenario aplikasi nakal yang membocorkan data perusahaan menjadi jauh lebih kecil kemungkinannya. Perkembangan industri ini menarik untuk diikuti, mengingat pasar AI coding terus berkembang pesat.
Komentar
Belum ada komentar.