„Vibe coding" mnoży luki bezpieczeństwa
Stowarzyszenie ACM alarmuje: AI generuje kod szybciej, niż zdążamy go sprawdzić i wypełnia go błędami, których samo nie potrafi wykryć.
Programowanie na wyczucie
.„Vibe coding” jest terminem opisujący tworzenie oprogramowania przez podawanie poleceń w języku naturalnym, bez pisania kodu ręcznie staje się jedną z najszybciej rosnących praktyk w branży technologicznej. Deweloperzy i użytkownicy bez żadnego przygotowania technicznego opisują, co chcą zbudować, a systemy AI generują, debugują, a czasem też uruchamiają gotowy kod. To zmiana, która obniża próg wejścia do programowania, ale zarazem podnosi poprzeczkę dla bezpieczeństwa całego ekosystemu cyfrowego.
Między produktywnością a długiem technicznym
.Simson Garfinkel, główny naukowiec w BasisTech i główny autor raportu ACM Technology Policy Council, nie ukrywa własnego entuzjazmu: przyznaje, że korzysta z narzędzi AI codziennie i że fundamentalnie zmieniły one jego pracę. Zaraz jednak dodaje, ze to właśnie ta sprzeczność nadaje raportowi ciężar, że te same narzędzia wprowadzają luki bezpieczeństwa, generują dług techniczny i produkują kod trudny do utrzymania w długim terminie. Granica między przyspieszeniem pracy, a utratą nad nią kontroli okazuje się niepokojąco cienka.
Kod, który nie wie, czym jest
.Raport ACM identyfikuje kilka kluczowych kategorii ryzyka. Modele AI generują kod na podstawie danych treningowych, które same zawierają błędy i podatności i dziedziczą je bez ostrzeżenia. Testowanie jest niespójne lub pomijane całkowicie, bo tempo iteracji nie sprzyja rygorowi. Narastającym zagrożeniem są też tzw. agentyczne narzędzia AI, zdolne do samodzielnego wykonywania kodu w wielu systemach jednocześnie co otwiera drogę do niezamierzonych działań: ujawnienia wrażliwych danych, usunięcia krytycznych plików lub wykonania złośliwych instrukcji przemyconych przez ataki typu prompt injection. „Systemy AI nie rozumieją tego, co tworzą, i nie są zdolne do wnioskowania o konsekwencjach”- stwierdza Garfinkel wprost.
Inżynieria, której AI nie zastąpi
.Organizacje wdrażające AI do procesów wytwarzania oprogramowania powinny traktować kod generowany przez modele jak każdy inny nieaudytowany zewnętrzny komponent. Oznacza to rygorystyczne testowanie i weryfikację z użyciem sprawdzonych metod inżynierii oprogramowania, aktywny audyt wyników AI przy wsparciu specjalistycznych narzędzi oraz obowiązkowy nadzór człowieka nad każdym etapem wdrożenia kodu. ACM podkreśla, że obecne modele generują kod bez egzekwowania specyfikacji i bez systematycznej walidacji wyników i że żadna szybkość dostarczania nie rekompensuje tej fundamentalnej słabości.
Globalny precedens w kształtowaniu
.Konsultacje publiczne nad raportem i jego rekomendacjami są częścią szerszego wysiłku ACM na rzecz budowy polityk regulacyjnych dla AI w przemyśle technologicznym. Vibe coding wejdzie wszystko na to wskazuje do kanonu narzędzi wytwarzania oprogramowania. Pytanie nie brzmi już, czy AI będzie pisać kod, lecz kto i w jaki sposób będzie za niego odpowiadał.
Szymon Ślubowski
