۵ اصل امنیتی ضروری برای برنامه‌نویسی ایمن با هوش مصنوعی

برنامه‌نویسی با هوش مصنوعی یا همان وایب کدینگ، سرعت توسعه نرم‌افزار را دگرگون کرده است، اما مبتدیان برای حفظ امنیت پروژه‌های خود باید اصول پایه‌ای را بدانند.

اصطلاح وایب کدینگ (Vibe Coding) از اوایل سال گذشته در سراسر دنیای فناوری فراگیر شد؛ زمانی که آندری کارپاتی، از بنیان‌گذاران OpenAI، درباره تجربه خود از تولید کد تنها با گفتگو با مدل هوش مصنوعی و بدون درگیر شدن با جزئیات فنی کدنویسی نوشت. او در پستی در شبکه اجتماعی X که جرقه این اصطلاح را زد گفت: «من فقط چیزها را می‌بینم، چیزی می‌گویم، کد را اجرا می‌کنم و متن‌ها را کپی و پیست می‌کنم و همه‌چیز در اغلب مواقع کار می‌کند.»

امروزه وایب کدینگ در صنعت فناوری به یک روال عادی تبدیل شده است. اگرچه این شیوه راهکاری قدرتمند برای پیشبرد سریع پروژه‌ها با کمترین منابع به‌شمار می‌رود، اما تولید کدهایی با هوش مصنوعی که درک کاملی از آن‌ها ندارید یا بازبینی نشده‌اند، می‌تواند خطرات امنیتی جدی برای شما، دستگاه‌هایتان و کاربران برنامه‌تان ایجاد کند. شرکت امنیت سایبری Apiiro که در حوزه ارزیابی برنامه‌های هوش مصنوعی فعالیت دارد، در پژوهشی روی ۵۰ شرکت برتر جهان گزارش داده است که وایب کدینگ اگرچه بهره‌وری مهندسان را ۴ برابر افزایش می‌دهد، اما میزان آسیب‌پذیری‌های امنیتی را تا ۱۰ برابر بیشتر می‌کند؛ بنابراین هرگز نباید بدون رعایت این ۵ اصل امنیتی پایه‌ای دست به وایب کدینگ بزنید.

۱. خواسته‌های خود را شفاف مطرح کنید و فایل راهنما بسازید

با مدل هوش مصنوعی مثل یک غول چراغ جادوی تنبل برخورد کنید. بسیاری از مدل‌های هوش مصنوعی برای تحویل سریع آنچه خواسته‌اید کوتاه‌ترین مسیر را انتخاب می‌کنند، بدون اینکه تمهیدات ایمنی را در نظر بگیرند یا نتیجه کار را دوباره بررسی کنند. هرگز تصور نکنید که هوش مصنوعی به‌خودی خود اطلاعات حساس را محرمانه نگه می‌دارد، اصول امنیت سایبری را پیاده‌سازی می‌کند یا آسیب‌پذیری‌های احتمالی کد را برطرف می‌سازد.

خواسته‌های خود را با بیشترین جزئیات ممکن بنویسید؛ مواردی مانند مشخصات حریم خصوصی، تعیین محدودیت دسترسی کاربران به بخش‌های مختلف برنامه و سایر حفاظ‌های امنیتی مانند رمزنگاری داده‌ها باید صریحاً بیان شوند. هم‌چنین می‌توانید از مدل بخواهید کدهای پیشنهادی را بر اساس فهرست ۱۰ آسیب‌پذیری برتر OWASP تطبیق دهد تا این مشکلات پیش از نوشته شدن خطوط کد مهار شوند.

بیشتر ابزارهای هوش مصنوعی به شما اجازه می‌دهند فایل‌های قوانین یا زمینه‌های پایدار بسازید تا مجبور نباشید در هر بار گفتگو دستورات یکسان را تکرار کنید. با ساخت یک فایل متنی با فرمت Markdown (فایل با پسوند md.) برای مدل‌ها، یا افزودن اطلاعات به بخش Knowledge در ابزار Lovable و بخش Memory در پلتفرم Replit، این قوانین را ثبت کنید. فایل‌های راهنمای Markdown برای اعمال استانداردهای امنیتی بسیار مفیدند، زیرا هوش مصنوعی در هر درخواست و تسک، دستورالعمل‌های این فایل را مد نظر قرار می‌دهد. علاوه بر این، پیش از شروع کار بهتر است ابزارهای وایب کدینگی را انتخاب کنید که از تاریخچه تغییرات (Audit Logs) پشتیبانی می‌کنند تا ردیابی هر ویرایش در پروژه آسان‌تر باشد.

۲. کلیدهای API و گذرواژه‌ها را از چت و متن کد دور نگه دارید

قرار دادن مستقیم کلیدهای دسترسی API یا رمزهای عبور در پرامپت هوش مصنوعی کار اشتباهی است. چنین اطلاعات حساسی هرگز نباید در متن کدها نیز دیده شوند، زیرا اگر بعدها پروژه خود را در پلتفرم GitHub منتشر کنید، تمام این داده‌های محرمانه در معرض دید عموم قرار می‌گیرند. محدود کردن دسترسی ابزار هوش مصنوعی می‌تواند خطر حملات تزریق پرامپت (Prompt Injection) را نیز تا حد زیادی مهار کند.

در عوض، اطلاعات حساس و محرمانه را در برنامه‌های اختصاصی مدیریت رمز عبور نگهداری کنید و در ابزارهایی مانند Replit ،Lovable یا Vercel از تب‌های متغیرهای محیطی (Environment Variables) یا بخش Secrets بهره ببرید. این شیوه ساده‌ترین و مطمئن‌ترین راهکار برای افراد تازه‌کار است.

اگر ابزار هوش مصنوعی مورد استفاده شما چنین قابلیتی را به‌صورت پیش‌فرض ندارد، باید یک فایل متغیرهای محیطی با نام env. در بخش بک‌اند پروژه ایجاد کنید و مطمئن شوید که این فایل در هیچ مرحله‌ای از توسعه به‌صورت عمومی منتشر نمی‌شود. این کار با قرار دادن نام فایل درون فایل gitignore. و جلوگیری از نمایش آن در فرانت‌اند سایت یا برنامه انجام می‌شود.

برای اطمینان از انجام صحیح این مراحل، می‌توانید از ابزار TruffleHog استفاده کنید؛ ابزاری که متن کدها را اسکن می‌کند تا از عدم افشای ناخواسته کلیدها و اطلاعات حساس مطمئن شوید.

۳. از داده‌های برنامه محافظت کنید

اگر در حال ساخت برنامه‌ای هستید که حجم زیادی از اطلاعات را مدیریت می‌کند، احتمالاً برای سازماندهی آن‌ها به زبان پرس‌وجوی ساختاریافته یا همان SQL نیاز خواهید داشت. برنامه‌های پرکاربردی مانند Spotify برای بهینه‌سازی عملکرد و ارسال بی‌نقص داده‌ها به کاربر از SQL بهره می‌برند. پایگاه‌های داده ناامن مبتنی بر SQL زمینه را برای حملات تزریق اس‌کیو‌ال (SQL Injection) فراهم می‌کنند و به هکرها اجازه می‌دهند داده‌ها را سرقت کنند، از بین ببرند یا با اطلاعات دلخواه خود جایگزین سازند.

به هوش مصنوعی یادآوری کنید که کوئری‌ها را به‌صورت پارامتری بنویسد، ورودی‌های کاربر را پالایش و پاک‌سازی کند، برای اقدامات حیاتی از قابلیت Server Actions بهره بگیرد و در صورت امکان امنیت در سطح سطر (RLS) و سیاست‌های امنیتی مربوط به آن را فعال کند. تمامی این اقدامات نفوذ به کدها را بسیار دشوار ساخته و سلامت داده‌های شما را تضمین می‌کند.

علاوه بر این، مطمئن شوید هوش مصنوعی از جدیدترین نسخه‌های کتابخانه‌های موجود استفاده می‌کند. مدل‌های هوش مصنوعی گاهی نام پکیج‌هایی را توهم می‌کنند که اصلاً در دنیای واقعی وجود ندارند، یا ممکن است تصادفاً کتابخانه‌های آلوده و مخرب را به پروژه اضافه کنند؛ بنابراین همواره نام و اصالت پکیج‌ها را ارزیابی نمایید.

۴. محدودسازی نرخ درخواست‌ها را فراموش نکنید

اگر با حملات منع سرویس توزیع‌شده یا DDoS آشنایی داشته باشید، می‌دانید که محدودسازی نرخ درخواست‌ها (Rate Limiting) یکی از مؤثرترین روش‌ها برای محافظت از برنامه در برابر از کار افتادن است. این سازوکار با محدود کردن دفعاتی که یک فرد یا ربات می‌تواند اقدام خاصی را انجام دهد، مانع بروز حملات می‌شود.

ایجاد محدودیت در دفعات تلاش برای ورود و ثبت رمز عبور می‌تواند جلوی حملات بروت فورس (Brute Force) و سوءاستفاده از مشخصات سرقت‌شده را بگیرد. میزان محدودیت مورد نیاز به نوع برنامه شما بستگی دارد. به‌عنوان مثال اگر یک اپلیکیشن رایگان مانند چت‌بات پشتیبانی ساخته‌اید، محدود کردن توکن‌های مصرفی روزانه برای هر کاربر می‌تواند از هزینه‌های غیرمنتظره و سنگین حساب مالی شما جلوگیری کند. در صورت امکان، محدودیت را ابتدا بر اساس شناسه کاربری و سپس بر اساس نشانی IP اعمال کنید؛ زیرا در این حالت هکرها نمی‌توانند به‌سادگی اقدام به هرزنامه‌پراکنی کنند و استفاده از VPN نیز این سد دفاعی را دور نخواهد زد.

استفاده از فرآیندهای تأیید هویت از طریق پیامک یا ایمیل و پیاده‌سازی آزمون‌های کپچا (CAPTCHA) از دیگر اقدامات مؤثر برای جلوگیری از فعالیت‌های مخرب و ربات‌ها است.

۵. کدهای تولیدشده با هوش مصنوعی را بازبینی و آزمایش کنید

اگر به یک مهندس نرم‌افزار حرفه‌ای دسترسی ندارید تا کدهای پروژه شما را بازبینی کند، از خود هوش مصنوعی بخواهید کدهایش را برای کشف آسیب‌پذیری‌های احتمالی و سنجش با ۱۰ خطر برتر بنیاد OWASP بازبینی کند؛ حتی اگر پیش‌تر نیز این موارد را بررسی کرده باشید. سپس همان کدها را به سایر مدل‌های هوش مصنوعی بسپارید تا خطاهای نادیده‌گرفته‌شده را بیابند.

هم‌چنین ابزارهای تخصصی متعددی برای ارزیابی پروژه‌های وایب کدینگ وجود دارند که از جمله آن‌ها می‌توان به Claude Code Security ،Codex Security ،Wingman از شرکت Stackhawk و هم‌چنین CheckVibe ،SafeToShip و Vibe App Scanner اشاره کرد. در نظر داشته باشید که فرآیند رفع باگ‌ها با انتشار برنامه پایان نمی‌پذیرد، بلکه برای حفظ امنیت همواره باید عملکرد و پایداری برنامه یا وب‌سایت خود را زیر نظر بگیرید.