Грустный Киберпанк

Код написан. Что дальше? Сергей Востриков, руководитель направления «Маркетплейс и интеграции» и Роман Стрельников, руководитель направления по информационной безопасности из 1С-Битрикс, о том, почему вайб-кодинг пока не готов к боевым условиям. Специально для «Грустного Киберпанка» Сначала — проверка безопасности За последние два месяца произошло несколько инцидентов, которые показывают, проблемы какого масштаба может создать бесконтрольный вайб-кодинг. Стилер Vidar начал охотиться за файлами памяти ИИ-агентов, 220 000 инстансов агента OpenClaw оказались в сети без какой-либо защиты, а криптоплатформа Moonwell потеряла 1,78 млн $ из-за одной ошибки в формуле, которую написал ИИ. Это если вспоминать только публичные инциденты. А еще есть сотни менее громких ситуаций, когда нетехнические специалисты в компаниях — маркетологи, бухгалтеры, эйчары — самостоятельно автоматизируют рутинные задачи и подвергают данные компании риску, а то и утечке. Причина почти всегда одна: экспериментальные решения запускались прямо в боевую среду с реальными данными клиентов, хотя код не прошел ни одной технической проверки. Минимальный чек-лист того, что нужно проверить перед запуском такого решения: 🔣экспериментировать с ИИ-решениями только в изолированном окружении с синтетическими данными (aka в песочнице); 🔣давать агенту минимальный доступ — ровно тот, что нужен для конкретной задачи; 🔣использовать правило «красной кнопки» — требовать подтверждения от человека на любые операции с изменением данных; 🔣относиться ко всем внешним данным как к потенциально вредоносным (например, в комментарии к лиду в CRM злоумышленник может вписать инструкцию, и автономный агент ее выполнит, если иное не прописано отдельно); 🔣никогда не хранить ключи доступа в коде — ключи, попавшие в GitHub, боты могут найти и использовать против вас за считанные минуты. Дальше — деплой Следующая задача — выложить готовое приложение в открытый доступ. ИИ-агент создает код, который работает на вашем компьютере. Чтобы открыть к нему доступ другим людям, нужна полноценная инфраструктура: сервер, домен, SSL-сертификат, база данных. Агент создает код в изоляции и не тестирует его на реальном сервере, поэтому на каждом из этих шагов что-то может пойти не так. К тому же агент не знает контекста компании: не понимает политику безопасности, требования по персональным данным, как управлять нагрузкой. Поэтому задачи деплоя сейчас в большинстве случаев выполняет технический специалист. Однако мы уже вступили в эпоху, где каждый сотрудник — потенциальный разработчик. И в ответ на существующие ограничения начинают появляться платформы вайб-кодинга, в которых можно и создать ИИ-сервис и правильно задеплоить его. Проверки безопасности уже встроены, тесты запускаются автоматически, а ошибки ловятся без участия разработчика. #экспертизаподъехала Подписывайтесь на «ГК» в Telegram|на Sponsr|в MAX