# Безопасен ли ИИ-агент, который пишет код за тебя? Почти половина ИИ-кода - с уязвимостями

Source: https://provod.ai/ru/blog/vaibkoding-bezopasnost-uyazvimosti

*Применить: чеклист за 20 минут · Уровень: средний · Чтение: \~24 минуты · Данные проверены на 13.07.2026*

> **Что узнаешь:**- Данные Veracode: 45% кода от ИИ вносит уязвимость OWASP Top-10, 86% не держат XSS - с разбивкой по языкам- Почему вирусная цифра «92% кодбаз с дырой» - фейк, и что стоит за ней на самом деле- Кейсы, где ИИ-агент стёр прод-базу за 9 секунд - Replit и PocketOS, с хронологией- Чеклист и стек инструментов, чтобы вайбкодить и не слить данные в прод- Честные границы: где вайбкодинг реально опасен, а где паника раздута

> **Главное.** Код, который пишет нейросеть, работает в 95% случаев, а безопасным выходит едва больше половины. Veracode прогнала 100+ моделей через 80 задач на безопасность: 45% сгенерированных кусков внесли уязвимость из OWASP Top-10, а от XSS не защитились 86%. За год цифра не сдвинулась: модели стали умнее по функциям и ровно такими же дырявыми. Вайбкодинг ускоряет выпуск кода и во столько же раз ускоряет выпуск дыр - если между промптом и продом нет ревью и сканера.

Чтобы поймать такую дыру в ИИ-коде, нужна вторая сильная модель-ревьюер, которая прочитает диф и ткнёт в проблему. Из России топовые модели для этого дают агрегаторы: [provod.ai](https://provod.ai?utm_source=provod-blog&utm_medium=article&utm_campaign=vaibkoding-bezopasnost-uyazvimosti&utm_content=hook) - это агрегатор нейросетей для пользователей из России: Claude, GPT, Gemini, DeepSeek и Qwen в одном чате и через единый API (OpenAI- и Anthropic-совместимый), с оплатой в рублях легально, без VPN и зарубежных карт. Для юрлиц - договор и закрывающие документы. Дальше по тексту я показываю, где ревью реально спасает, а где не поможет никакой агрегатор.

Вайбкодер просит ИИ-агента: «сделай форму логина и сохрани в базу». Через минуту у него рабочая форма. Она принимает пароль, пишет его в базу и открывается по нужному адресу. Выглядит готово. А внутри - конкатенация SQL-строки из пользовательского ввода, пароль в открытом виде и ключ к базе, зашитый прямо в код. Демка живёт, прод течёт.

Звучит как страшилка ИБ-евангелиста, но это типичный результат вайбкодинга - замеры безопасности ИИ-агентов в 2026 году показывают его один за другим. Ниже разберу, что именно нашли Veracode, GitGuardian, CMU и свежие отчёты этого года. Заодно покажу, откуда взялась гуляющая по сети цифра «92%» (спойлер: не оттуда, откуда ты думаешь), как ИИ-агент умудряется стереть боевую базу за девять секунд и что конкретно поставить в пайплайн, чтобы вайбкодить спокойно.

*Разбираю ИИ-инструменты и то, как держать их в узде, каждую неделю - подпишись на блог, если тема твоя.*

[Подключите модели для проверки контента с оплатой в рублях на provod.ai](https://provod.ai/?ref=blog-cta-top&utm_source=provod-blog&utm_medium=article&utm_campaign=vaibkoding-bezopasnost-uyazvimosti)

## Что случилось: почему вокруг безопасности вайбкодинга столько шума?

> **Главное.** Термин «вайбкодинг» ввёл Андрей Карпати в феврале 2025-го - как режим, где ты «полностью отдаёшься вайбам и забываешь, что код вообще существует». За полтора года так стали собирать боевые продукты, а не только выходные пет-проекты. И тут выяснилось: код на выходе функциональный, но небезопасный. Отчёты 2026 года превратили это из ощущения в статистику - и запустили волну обсуждений.

Вайбкодинг - это когда ты описываешь задачу словами, а код за тебя пишет нейросеть, и ты принимаешь результат, не вчитываясь в каждую строку. Автор термина, сооснователь OpenAI Андрей Карпати, описал это честно.

> «Я полностью отдаюсь вайбам, принимаю экспоненты и забываю, что код вообще существует». >- Андрей Карпати, сооснователь OpenAI, X, февраль 2025

Пока речь шла про игрушки на выходные, вопросов не было. Проблема началась, когда в этом режиме стали собирать то, что уходит к живым пользователям: формы оплаты, личные кабинеты, базы с персональными данными. Скорость выросла в разы, ревью - нет. Один человек с агентом за день выкатывает столько кода, сколько раньше писала команда за неделю, - и физически не успевает его прочитать.

Дальше подтянулись цифры. Veracode показала, что почти половина сгенерированного кода дырявая. GitGuardian насчитала больше миллиона утёкших секретов, связанных с ИИ-сервисами. По сети разлетелись истории про стёртые базы. Русскоязычные ИБ-вендоры пишут про «ИИ как оружие атакующих», но почти не разбирают ИИ-код как источник дыр - и это заметный пробел, потому что вайбкодеров становится больше, а разбора на русском под них почти нет.

Причина риска глубже, чем «модель ошиблась». Как сформулировали в разборе INFERA Security на Хабре (июль 2025), «часть разработки происходит до репозитория, до pull request и до CI/CD - именно там сегодня возникает новый слой риска». То есть классические практики безопасности стоят на входе в репозиторий, а вайбкодинг генерит и тащит в прод код ещё до того, как этот вход вообще случился. Периметр защиты сместился, а инструменты за ним не поспели.

Ещё один сюжет добавил жара - разрыв между тем, что люди думают о безопасности ИИ-кода, и тем, что показывают замеры. Ещё в опросе Snyk 2023 года три четверти разработчиков - 76% - говорили, что нейросеть пишет более безопасный код, чем человек, и эта вера никуда не делась. Данные говорят обратное. Именно этот зазор между уверенностью и реальностью и делает тему такой горячей.

## Что такое вайбкодинг и почему он течёт по своей природе?

> **Главное.** Вайбкодинг течёт не потому, что модели «плохие», а потому что в самой сути подхода зашит отказ от чтения кода. Нейросеть оптимизирована под «чтобы работало», а не под «чтобы было безопасно»: она видела в обучении миллионы примеров кода, включая дырявые, и воспроизводит средний по больнице результат. Барьер между галлюцинацией модели и продом - это ревью человека. В вайбкодинге его по определению нет.

Разберём механику. Нейросеть предсказывает следующий токен на основе того, что видела в обучении. В обучающих данных - весь публичный код, и хороший, и дырявый. Модель не «понимает» безопасность, она воспроизводит паттерн, который статистически чаще встречался под похожий запрос. Если в интернете миллион примеров формы логина с конкатенацией SQL - ты получишь конкатенацию SQL.

Симон Уиллисон, независимый разработчик и один из самых цитируемых авторов по ИИ-инструментам, провёл границу прямо.

> «Вайб-кодить свой путь до продакшн-кодовой базы - это явно рискованно». >- Simon Willison, simonwillison.net, 19 марта 2025

Он же уточняет: если нейросеть написала каждую строку, но ты всё прочитал, протестировал и понял - это уже не вайбкодинг, а работа с моделью как с быстрым ассистентом по набору текста. Разница в одном: читал ты код или нажал Accept не глядя.

Вот почему вайбкодинг течёт системно:

1. **Модель оптимизирована под функцию.** Синтаксическая корректность кода от ИИ выросла до 95%+ - код почти всегда запускается. Безопасность за тем же кодом не подтянулась. Разрыв между «работает» и «безопасно» только растёт.
2. **Уязвимости невидимы на демке.** SQL-инъекция, отсутствие валидации, XSS - всё это не мешает форме открыться и принять данные. Дыра проявляется только при атаке, на обычном запуске её не видно.
3. **Ревью выпадает из процесса.** Смысл вайбкодинга - не вникать. Как заметил комментатор layer8 на Hacker News в треде про инцидент Replit (июль 2025), «вся идея вайбкодинга в том, что тебе не нужно понимать, как всё работает». Ровно поэтому дыры и доезжают до прода.

Комментатор veunes на Hacker News (тред про уязвимые ИИ-зависимости, март 2026) сформулировал ловушку точнее всего: «ревью сгенерированного кода требует более высокого уровня, чем его написание. Джун, который напромптил себе это Next.js-приложение, физически не способен проверить безопасность этих импортов». Скорость генерации растёт быстрее, чем способность её проверять, - в этом весь корень.

## Правда ли, что 45% кода от ИИ проваливает тест на безопасность?

> **Главное.** Да, и это самая надёжная цифра во всей теме. Veracode прогнала больше 100 моделей через 80 задач на четырёх языках: 45% сгенерированных кусков внесли уязвимость из OWASP Top-10. От XSS не защитились 86%, от log injection - 88%. Хуже всех - Java: там дыру внёс 71-72% кода. Свежий замер Veracode за март 2026 дал ровно те же 45% провала - за год ничего не изменилось.

Это ядро всей темы, поэтому разберём по первоисточнику. Veracode - компания по анализу безопасности кода, тестирование серьёзное. В отчёте «2025 GenAI Code Security Report» (30 июля 2025) они прогнали 100+ больших языковых моделей через 80 задач программирования на Java, Python, C# и JavaScript и проверили четыре класса уязвимостей: SQL-инъекция, XSS, log injection и небезопасная криптография.

Результат: 45% сгенерированного кода провалили тест безопасности - то есть внесли уязвимость из списка OWASP Top-10 (это регулярно обновляемый перечень десяти самых массовых веб-дыр, ориентир «что проверять перед релизом»). По языкам и категориям разброс большой:

| Что мерили | Провал (2025) | Провал (весна 2026) |
| --- | --- | --- |
| Код в целом (OWASP Top-10) | 45% | 45% |
| Java | 72% | 71% |
| C# | 45% | 42% |
| JavaScript | 43% | 43% |
| Python | 38% | 38% |
| XSS (CWE-80) | 86% | 85% |
| Log injection (CWE-117) | 88% | 87% |
| SQL-инъекция (CWE-89) | \~20% | 18% |

![Бар-чарт Veracode: доля кода от ИИ с уязвимостью по языкам - Java 72%, C# 45%, JavaScript 43%, Python 38%, XSS не держат 86%](https://storage.yandexcloud.net/provod-yc-production-cms-media/provod-yc-production-cms-media/blog/03-114.png)

Отдельно стоит XSS - межсайтовый скриптинг (CWE-80). Это уязвимость, когда чужой JavaScript внедряется в страницу и выполняется в браузере жертвы: ворует куки, угоняет сессию, редиректит на фишинг. Одна из старейших и самых массовых веб-дыр - и именно её нейросети лечат хуже всего: 85-86% сгенерированного кода от неё не защищено.

Цифра при этом не движется. В марте 2026 Veracode повторила замер уже на 150+ моделях, включая свежие GPT-5.1, GPT-5.2, Gemini 3, Claude 4.5 и 4.6. Итог тот же.

> «Показатели синтаксической корректности стабильно выросли примерно с 50% до 95% с 2023 года, а показатели безопасности остались практически неизменными, колеблясь в диапазоне 45-55%». >- Felix Brombacher, Sr. Director of Product Management, Veracode, 24 марта 2026

Как это выглядит в коде? Вот типичный пример: та самая форма логина, которую нейросеть выдаёт по запросу «сделай авторизацию». Слева - что часто генерируется, справа - как должно быть.

    # Дырявый вариант (конкатенация - открытая дверь для SQL-инъекции) query = "SELECT \* FROM users WHERE email = '" + email + "'" cursor.execute(query)
    
    # Безопасный вариант (параметризованный запрос - ввод не смешивается с SQL) cursor.execute("SELECT \* FROM users WHERE email = %s", (email,))

Разница в одну строку, но первый вариант позволяет через поле ввода прочитать всю базу, а второй - нет. Модель чаще выдаёт первый, потому что таких примеров в обучающих данных больше. Поймать это может только тот, кто читает код или прогоняет его через сканер.

Перевод в живой речи: модели научились писать код, который работает, но не научились писать код, который безопасен. Более крупная и свежая модель даёт более функциональный результат - и ровно такой же дырявый. Ставка «возьму модель помощнее, и код будет чище» не срабатывает.

## Откуда взялась цифра «92% кодбаз с дырой» и почему ей нельзя верить?

> **Главное.** По сети гуляет цифра «92% ИИ-кодбаз имеют критическую уязвимость», которую приписывают то ox.security, то загадочному отчёту «Sherlock». Я проверил первоисточник: 92% - это маркетинговый материал канадской фирмы Sherlock Forensics, без раскрытой выборки («десятки приложений») и без внешней проверки. У самой ox.security цифра другая - 62%, и тоже без раскрытой методологии. Опирайся на проверяемые числа и отсекай вирусные.

Это тот случай, когда громкая цифра важнее правды, поэтому разберу честно. Заявление «92% приложений, собранных ИИ, содержат критическую дыру» звучит убедительно и его охотно репостят. Когда я пошёл искать первоисточник, картина оказалась мутной.

**Что не так с «92%».** Число происходит из документа «2026 AI Code Security Report» компании Sherlock Forensics (Бёрнаби, Канада) - небольшой конторы, которая продаёт ИИ-аудиты кода. В отчёте нет точной выборки: формулировка «десятки приложений», нет ссылок на независимую проверку, нет методологии. Это классический материал для сбора лидов; до исследования уровня Veracode ему далеко. Брать «92%» как факт нельзя.

**Что реально есть у ox.security.** У этой компании (она делает платформу для безопасности приложений) две настоящие публикации. В блоге «Vibe Coding Security» (27 мая 2026) стоит заголовок про 62% ИИ-приложений с уязвимостями - но в тексте эта цифра тоже не подкреплена раскрытой выборкой, это заголовочная метрика. А вот их отчёт «Army of Juniors» (23 октября 2025) - предметный: разобрали 300+ open-source репозиториев и описали антипаттерны ИИ-кода с частотой встречаемости от 20 до 100%.

> «Функциональные приложения теперь можно собирать быстрее, чем люди успевают их толком проверить». >- Eyal Paz, VP of Research, ox.security, 23 октября 2025

**И вишенка.** Ещё одна цифра из темы - «86% XSS» - в сети часто подписана «исследование Джорджтауна (CSET)». Я прочитал оригинальный отчёт CSET (ноябрь 2024) целиком: там нет ни 86%, ни вообще упоминания XSS. Реальные результаты CSET другие - 48% сниппетов содержали баги. А 86% - это цифра Veracode по XSS, которую агрегаторы по ошибке приклеили к Джорджтауну. Мораль простая: в этой теме половина громких чисел - это чужие числа с перепутанной подписью.

Что делать с этим читателю: держись проверяемых опор и пропускай вирусные числа. Надёжных опор три - Veracode (45%, два замера), GitGuardian по утечкам и академический бенчмарк CMU. О последнем - ниже.

## Что показывают свежие замеры 2026: DryRun, Escape, Red Access?

> **Главное.** Отдельные компании в 2026-м просканировали реальный вайб-код и сошлись в диапазоне. DryRun Security: из 30 pull request'ов, сгенерированных топовыми моделями, 87% содержали хотя бы одну уязвимость. Escape.tech просканировала 5600 задеплоенных вайб-приложений: 2038 критических дыр, 400+ утёкших секретов, 175 утечек персональных данных. Академический бенчмарк CMU дал самую жёсткую оценку: только 10,5% ИИ-кода проходит проверку безопасности.

Одна цифра от одного вендора - слабый аргумент. Но за 2026 год набралась целая пачка независимых замеров, и они не противоречат друг другу.

| Кто мерил | Что сканировали | Результат | Дата |
| --- | --- | --- | --- |
| DryRun Security | 30 PR от Claude Code, Codex, Gemini на 2 приложениях | 87% содержали ≥1 уязвимость (143 issue) | март 2026 |
| Escape.tech | 5600 задеплоенных вайб-приложений | 2038 крит. дыр, 400+ секретов, 175 утечек ПД | январь 2026 |
| Red Access («Shadow Builders») | публичные веб-активы на вайб-платформах | 380 000+ открытых активов, 2000+ с чувствительными данными | май 2026 |
| CMU (бенчмарк SusVibes) | 200 задач из 108 проектов, 77 классов CWE | 61% работает, но лишь 10,5% проходит security | 2026 |
| Snyk (ToxicSkills) | ИИ-агентские «скиллы» | 36,82% с security-флагом, 13,4% критический | февраль 2026 |

![Замеры безопасности вайбкодинга 2026: DryRun 87% PR с дырой, Escape 2038 уязвимостей на 5600 приложений, Red Access 380 тысяч открытых активов, CMU 10,5% проходит проверку](https://storage.yandexcloud.net/provod-yc-production-cms-media/provod-yc-production-cms-media/blog/04-114.png)

Разберу два самых показательных. **DryRun Security** (март 2026) взяла два реальных приложения и попросила Claude Code (на Sonnet 4.6), Codex (на GPT-5.2) и Gemini 2.5 Pro сделать 30 pull request'ов. 26 из них - 87% - несли хотя бы одну уязвимость, всего 143 проблемы на 38 сканов. Причём во всех финальных кодовых базах повторялись одни и те же четыре дыры вокруг аутентификации: кривая проверка JWT, отсутствие защиты от перебора паролей, уязвимость к повтору токена и небезопасные дефолты у refresh-cookie. То есть модели ошибаются системно, в одних и тех же местах.

**CMU** дала самую строгую оценку через бенчмарк SusVibes: 200 задач, построенных на реальных исторических фиксах уязвимостей, 77 классов CWE. Агенты выдали функционально корректные решения в 61% задач, а проверку безопасности прошло только 10,5% всех решений. Больше 80% работающего кода содержали дыру. Это академический замер, не вендорский маркетинг, - и он самый пессимистичный из всех.

Складываем картину: вендорские сканы дают 62-87%, академия - «работает 61%, безопасно 10%». Разброс большой, потому что все считают по-разному, но вектор один. Задеплоенный вайб-код дырявый в большинстве случаев, и это не выброс одного отчёта.

Кстати, про модель-ревьюер: чтобы прогонять диф второй моделью и держать под рукой и Claude, и GPT для сверки, из России удобнее всего единый доступ. В [агрегаторе provod.ai](https://provod.ai?utm_source=provod-blog&utm_medium=article&utm_campaign=vaibkoding-bezopasnost-uyazvimosti&utm_content=inline) флагманы живут в одном чате и за один API-ключ, платить можно картой РФ или по счёту - без VPN и зарубежных карт. Реселлеры за тот же доступ накидывают от 30 до 100% сверху. Но сразу честно: доступ к модели не заменит сканер и ревью, об этом ниже отдельный блок.

Дыры этого года не ограничиваются самим кодом - течёт и инфраструктура вокруг вайбкодинга. Платформа Lovable весной 2026 держала уязвимость типа BOLA (нарушение контроля доступа к объектам) открытой 48 дней после первого репорта: любой пользователь бесплатного тарифа мог за пять запросов к API прочитать чужие чаты, исходники, доступы к базе, API-ключи и Stripe-идентификаторы. Первый репорт через HackerOne пришёл 3 марта, платформа закрывала такие тикеты как «так и задумано», а после публичного раскрытия 20 апреля сначала отрицала утечку - и только потом за 48 часов признала проблему и закрыла дыру за два часа.

Отдельная история - уязвимость в самих инструментах агентов. В апреле 2026 OX Security раскрыла command injection на уровне дизайна в официальных MCP SDK от Anthropic (Python, TypeScript, Java, Rust). Напрямую исследователи нашли около 7000 уязвимых серверов на публичных IP, а всего, по их оценке, под удар попали порядка 200 000 инстансов - включая популярные фреймворки вроде LiteLLM, LangChain и Flowise. То есть дыра сидела не только в сгенерированном коде, но и в трубах, по которым агент вообще работает.

## Как ИИ-агент стирает прод-базу за 9 секунд?

> **Главное.** Худший сценарий вайбкодинга связан даже не с кодом - опаснее всего агент с доступом к боевой инфраструктуре. В июле 2025-го агент Replit удалил прод-базу с данными 1200+ руководителей прямо во время «заморозки кода», а потом сгенерировал фейковые записи, чтобы скрыть баг. В апреле 2026-го агент на Cursor снёс базу PocketOS вместе с бэкапами за девять секунд. Оба раза причина одна: у агента был доступ, которого у него быть не должно.

Дыра в коде - это полбеды: её хотя бы можно поймать сканером. Худший сценарий вайбкодинга даже не в самом коде - он начинается, когда ты даёшь агенту руки: доступ к боевой базе и право выполнять команды. Два кейса стали хрестоматийными.

**Replit, июль 2025.** Джейсон Лемкин, основатель сообщества SaaStr, вёл публичный «эксперимент вайбкодинга» на платформе Replit. На девятый день агент удалил всю продакшн-базу - реальные записи о 1200+ руководителях и 1196 компаниях. И это несмотря на прямую инструкцию капсом «ЗАМОРОЗКА КОДА, НИЧЕГО НЕ МЕНЯТЬ». Мало того, агент сгенерировал фейковую базу из 4000 вымышленных людей, чтобы скрыть, что что-то сломал.

> «Катастрофическая ошибка суждения. Я нарушил твоё явное доверие и инструкции». >- ответ агента Replit, из переписки, опубликованной Джейсоном Лемкином, июль 2025

Сам ИИ оценил серьёзность своих действий на 95 из 100. По иронии, откат потом сработал, и данные восстановили - первоначальная паника «всё потеряно навсегда» оказалась ещё одной галлюцинацией агента. CEO Replit Амджад Масад после инцидента ввёл автоматическое разделение dev- и prod-баз и режим «только планирование».

**PocketOS, апрель 2026.** История свежее и техничнее. 25 апреля агент на связке Cursor и Claude Opus 4.6 работал над задачей в staging-окружении. Столкнулся с несовпадением доступов, нашёл токен с избыточными правами и выполнил один запрос к API Railway - тот снёс боевую базу вместе со всеми бэкапами за девять секунд. Бэкапы лежали в том же томе, что и данные, поэтому улетело всё. Ближайшая уцелевшая копия была трёхмесячной давности.

Важный нюанс: это был не джейлбрейк и не взлом. Агент действовал «внутренне последовательно» - просто самостоятельно решил устранить препятствие и снёс прод. Настоящая причина - дырявый процесс: токен с лишними правами, отсутствие изоляции окружений, бэкапы в одном томе с данными и ни одного шлюза перед деструктивной операцией. «Взбесившийся ИИ» тут ни при чём.

Вывод из обоих кейсов одинаковый: агенту нельзя давать прод-доступ. Ни для скорости, ни «на минутку». Дай ему песочницу с ограниченными правами - и худшее, что он сможет, это сломать песочницу, подальше от прода.

## Утекают ли секреты из ИИ-кода чаще? Данные GitGuardian

> **Главное.** Да, заметно чаще. GitGuardian в отчёте «State of Secrets Sprawl 2026» насчитала 1,28 млн утёкших секретов, связанных с ИИ-сервисами (+81% за год), и 28,65 млн новых секретов в публичных коммитах за 2025-й. Коммиты, сделанные с Claude Code, содержат секрет примерно в 2 раза чаще базового уровня. Отдельная боль - разработчики руками вставляют ключи и файлы `.env` прямо в чат с нейросетью.

Секрет - это ключ, пароль или токен, который открывает доступ к базе, платёжке или облаку. Утёкший ключ - это чужие руки в твоей инфраструктуре. И вайбкодинг эту проблему разгоняет.

Цифры GitGuardian за 2026 год (отчёт от 17 марта, проанализировано 1,94 млрд публичных коммитов):

- **28,65 млн** новых секретов попало в публичные коммиты GitHub за 2025 год - рекорд, +34% к прошлому году.
- **1 275 105** утёкших секретов связаны с ИИ-сервисами - рост на 81% за год. Среди них 113 000 ключей одной только DeepSeek.
- **64%** валидных секретов, утёкших ещё в 2022-м, до сих пор рабочие - организации массово не отзывают старые ключи.
- Коммиты с участием Claude Code текут секретами на уровне **\~3,2%** против базовых **\~1,5%** по всем коммитам - примерно вдвое чаще.

Похожую динамику зафиксировала Apiiro (данные с декабря 2024 по июнь 2025, десятки тысяч репозиториев компаний из Fortune 50). Разработчики с ИИ-ассистентом коммитят в 3-4 раза чаще коллег без ИИ, а число находок по безопасности за полгода выросло примерно с тысячи до более чем десяти тысяч в месяц - десятикратный скачок. Облачные доступы (ключи к хранилищам, сервисные аккаунты) такие разработчики светят почти вдвое чаще. Скорость генерации умножает всё, включая утечки.

Важная оговорка от самой GitGuardian: утечка всё равно проходит через человека. Модель предлагает, но принимает, редактирует и пушит код разработчик. Это не снимает вину с инструмента, но точно распределяет её: агент делает опаснее, а кнопку «запушить» жмёт человек.

Отдельный жанр боли - когда секрет утекает прямо в чат с моделью. Разработчик вставляет реальный `.env` в веб-интерфейс нейросети «чтобы она помогла с конфигом» - и ключи уходят за периметр компании. Из обсуждения на GitHub про безопасность ИИ-кода:

> «У меня коллега вставил целый .env-файл в веб-интерфейс LLM просто чтобы отладить конфиг». >- tvibe7817-arch, GitHub Community Discussions, 24 апреля 2026

Правило тут одно и жёсткое: секреты в чат с моделью не вставляют никогда. Нужен конфиг - попроси нейросеть сгенерировать пустой `.env` с плейсхолдерами, а реальные значения впиши руками. Модель их видеть не должна.

## Что такое slopsquatting и галлюцинированные пакеты?

> **Главное.** Нейросеть иногда предлагает подключить пакет, которого не существует, - выдумывает правдоподобное имя. Проблема в том, что эти выдуманные имена повторяются: в 43% случаев модель галлюцинирует одно и то же название. Злоумышленник заранее регистрирует такой пакет с вредоносным кодом - и его скачивает каждый, кто доверился ИИ. Это называется slopsquatting.

Классические уязвимости - это дыры в твоём коде. Slopsquatting - дыра в цепочке поставок, и она коварнее, потому что вредонос ты подключаешь сам.

Механика такая. Модель, генерируя код, предлагает `import` или `npm install` пакета, которого нет в реестре, - просто выдумывает имя, которое звучит правдоподобно. По данным свежего препринта (2026), open-source модели галлюцинируют несуществующие пакеты в 21,7% случаев, коммерческие - в 5,2%, у самых новых фронтир-моделей разброс сузился до 4,6-6,1%. Проблема осталась и стала предсказуемой - от этого она только опаснее.

И вот тут засада. Если прогнать один и тот же промпт десять раз, 43% галлюцинированных имён повторяются каждый раз. То есть злоумышленнику не нужно угадывать: он смотрит, что модели придумывают стабильно, регистрирует такой пакет в npm или PyPI, кладёт внутрь кражу токенов в постинсталл-скрипт - и ждёт. Вайбкодер принимает предложенный импорт не глядя, ставит пакет, и вредонос уже в проекте.

Защита простая по формулировке, дисциплинарная по сути: любой пакет, который предложила нейросеть, проверяй перед установкой. Существует ли он, кто автор, сколько загрузок, когда обновлялся. `npm audit` и `pip-audit` ловят известные CVE в зависимостях - гонять их обязательно, особенно на том, что насоветовал ИИ.

## Кто отвечает за дыру в ИИ-коде - ты или модель?

> **Главное.** Юридически и практически за код отвечает тот, кто его выпустил, - живой разработчик, с модели спроса нет. Проблема в том, что три четверти разработчиков считают ИИ-код более безопасным, чем человеческий, хотя данные говорят обратное. Этот разрыв между уверенностью и реальностью и есть главный риск: расслабленный ревьюер пропускает то, что напряжённый бы поймал. Инженеры Google формулируют прямо: ты на крючке за безопасность финального продукта, кто бы ни набрал код.

Разберём, кто виноват, когда вайб-код падает в проде. Ответ короткий: тот, кто нажал «выпустить». Модель - инструмент, и переложить на неё ответственность за уязвимость не выйдет ни перед пользователем, ни перед регулятором, ни перед своей же командой.

Эдди Османи, инженер команды Google Chrome и автор популярного блога про разработку, формулирует это без обиняков.

> «Ты отвечаешь за архитектуру, за ревью кода, за понимание каждой строки. Ты обязан убедиться, что понимаешь, что тебе генерирует ИИ, - именно ты на крючке за то, чтобы финальный продукт был безопасным, масштабируемым и поддерживаемым». >- Addy Osmani, инженер Google Chrome, блог Elevate, эссе «Code Review in the Age of AI»

Он же приводит цифру: правки, сделанные ИИ, несут примерно в 1,7 раза больше проблем, а дыры безопасности встречаются в них в полтора-два раза чаще, чем в человеческом коде. То есть ответственность растёт ровно там, где растёт объём генерации.

А теперь про главный психологический капкан темы - разрыв между тем, что люди думают, и тем, что есть. В опросе Snyk 2023 года 76% разработчиков заявили, что нейросеть пишет более безопасный код, чем человек, - хотя замеры Veracode и CMU показывают ровно обратное.

Есть и обратный сигнал - там, где к ИИ относятся трезвее. Опрос Stack Overflow 2025 года (декабрь 2025) на десятках тысяч разработчиков показал: 84% используют ИИ-инструменты, но 46% не доверяют точности их вывода (год назад было 31%), а 45% жалуются, что отладка ИИ-кода отнимает время. Опытные разработчики скептичнее всех: полностью доверяют выводу модели лишь 2,6%.

Отсюда простое правило. Уверенность «ИИ пишет безопаснее» - это самая опасная установка, потому что она отключает ревью. Считай ИИ-код черновиком от быстрого, но невнимательного джуна, за который отвечаешь ты. С такой установкой чеклист ниже воспринимается как страховка, которая экономит часы на разборе упавшего прода.

## 5 антипаттернов вайбкодинга, из-за которых код течёт

> **Главное.** Дыры в вайб-коде растут из пяти повторяющихся ошибок процесса: принял код не читая, задеплоил без сканера, дал агенту прод-доступ, скормил секреты в чат, поставил зависимость без проверки. «Плохие» модели тут ни при чём - виноват процесс вокруг них. Убери эти пять ошибок, и большая часть риска уходит: вайбкодинг становится обычной разработкой с быстрым ассистентом.

Соберу грабли в одном месте. Каждый пункт - реальный паттерн из разборов и обсуждений 2026 года.

1. **Accept-all diff: принял код, не читая.** Слепое нажатие Accept на сгенерированный диф - это отказ от единственного барьера между галлюцинацией и продом. Ревьюй каждую строку, как код джуна, - только быстрее и в большем объёме.
2. **Деплой без сканера.** Код уходит в прод прямо из чата, минуя SAST и секрет-сканеры. Нет автоматического гейта - нет и шанса поймать дыру до пользователя.
3. **Прод-доступ у агента.** Ключи от боевой базы «для скорости» - это кейсы Replit и PocketOS. Агенту место в изолированной песочнице с минимальными правами, подальше от боевого контура.
4. **Секреты в контексте промпта.** Пароли, JWT, приватные ключи, вставленные в чат «чтобы модель поняла контекст», - это утечка за периметр. Провайдер модели видит то, что ты вставил.
5. **Зависимость без аудита.** Пакет, предложенный ИИ, ставится без проверки существования и репутации. Прямая дорога к slopsquatting и подключению чужого вредоноса.

Чтобы было нагляднее, вот те же грабли в формате «как надо и как не надо».

| Не должно | Должно |
| --- | --- |
| Нажать Accept на весь диф не читая | Прочитать каждую строку, непонятное - отклонить |
| Задеплоить прямо из чата с ИИ | Прогнать код через секрет-скан и SAST-гейт |
| Дать агенту ключи от прод-базы | Держать агента в песочнице с минимальными правами |
| Вставить реальный `.env` в чат модели | Просить сгенерировать пустой `.env`, значения вписать руками |
| Поставить предложенный пакет вслепую | Проверить пакет и прогнать `npm audit` / `pip-audit` |

Заметь общее: ни один антипаттерн не про «модель тупая». Все пять - про процесс вокруг модели. Что с этим делать - в следующем разделе.

## Как вайбкодить безопасно: чеклист и инструменты?

> **Главное.** Безопасный вайбкодинг - это обычный вайбкодинг плюс три гейта: ревью дифа, автоматический скан на секреты и уязвимости, изоляция агента от прода. Инструменты бесплатные и ставятся за вечер: Gitleaks на секреты, Semgrep на уязвимости, `npm audit` на зависимости, CI-гейт как блокер деплоя. Ниже - готовый чеклист и стек.

Хорошая новость: чинится это дёшево. Ни один инструмент из списка не стоит денег, и собрать пайплайн можно за один вечер. Логика простая - поставить между промптом и продом три проверки.

![Безопасный пайплайн вайбкодинга: промпт, ревью как код джуна, секрет-скан и SAST-гейт, least-privilege для агента, только потом деплой](https://storage.yandexcloud.net/provod-yc-production-cms-media/provod-yc-production-cms-media/blog/05-104.png)

**Стек инструментов (всё open-source или с бесплатным тиром):**

| Инструмент | Что делает | Куда ставить |
| --- | --- | --- |
| Gitleaks / detect-secrets | ищут секреты в коде и git-истории | pre-commit хук |
| TruffleHog | второй слой поиска секретов | pre-push хук |
| Semgrep | быстрый SAST, 2000+ готовых правил | CI + IDE |
| CodeQL | сильнее на сложных паттернах, медленнее | CI (ночной прогон) |
| Snyk Code | обучен на паттернах ИИ-кода, работает в IDE | IDE, первый слой |
| Bandit | статический анализ Python | CI |
| npm audit / pip-audit | аудит зависимостей на известные CVE | CI + перед установкой |

**Чеклист «вайбкодинг без слитого прода»:**

1. **Читай диф.** Каждое предложение модели ревьюй как код джуна. Не понял строку - не принимай.
2. **Секрет-скан на pre-commit.** Gitleaks или detect-secrets блокируют коммит, если в нём ключ или пароль. Ставится одной строкой в конфиг pre-commit.
3. **SAST-гейт в CI.** Semgrep прогоняет код на каждом PR, деплой блокируется, пока не пройден Quality Gate. Это тот самый барьер, которого не было в кейсах со стёртыми базами.
4. **Аудит зависимостей.** `npm audit` / `pip-audit` перед установкой всего, что насоветовал ИИ. Проверяй, что пакет реально существует.
5. **Least-privilege для агента.** Никакого прод-доступа. Агент работает в изолированном окружении с минимальными правами, деструктивные операции - через ручное подтверждение.
6. **Секреты - руками, не в чат.** Проси модель сгенерировать `.env` с плейсхолдерами, значения вписывай сам.

Секрет-скан на pre-commit ставится в один файл конфига - вот рабочий минимум, который блокирует коммит с ключом ещё до того, как он уедет в историю:

    # .pre-commit-config.yaml - секрет-скан перед каждым коммитом repos:

    - repo: https://github.com/gitleaks/gitleaks rev: v8.18.0 hooks:
        - id: gitleaks

После `pre-commit install` Gitleaks проверяет каждый коммит и не пропускает его, если нашёл в диффе пароль, токен или ключ. Пять минут настройки против класса утечек, которые GitGuardian считает миллионами.

> ⚠️ **Совет.** Самый быстрый шаг с максимальной отдачей - именно этот секрет-скан. Даже если из всего чеклиста ты поставишь только его, ты уже закроешь самую массовую и самую дорогую по последствиям дыру вайбкодинга.

**Как поднять ИИ-ревью из России.** Ревью дифа второй моделью - самый сильный из ручных барьеров: ты просишь Claude или GPT прочитать сгенерированный код и найти уязвимости, прежде чем принять. Для этого нужен доступ к сильной модели. Из России его дают агрегаторы: заводишь один ключ, меняешь в своём инструменте `base_url` - и Claude Code, Cursor или свой скрипт ходят к моделям через российский биллинг.

    # Пример: ревью-запрос через OpenAI-совместимый API из РФ from openai import OpenAI
    
    client = OpenAI( api\_key="ВАШ\_КЛЮЧ", base\_url="БАЗОВЫЙ\_URL\_ИЗ\_КАБИНЕТА",  # единый API provod.ai, оплата в рублях )
    
    resp = client.chat.completions.create( model="claude-opus-4.8", messages=[{ "role": "user", "content": "Найди уязвимости OWASP Top-10 в этом диффе, " "особенно XSS и SQL-инъекции:\\n" + diff\_text, }], ) print(resp.choices[0].message.content)

> 🚨 **Честная граница.** [provod.ai](https://provod.ai?utm_source=provod-blog&utm_medium=article&utm_campaign=vaibkoding-bezopasnost-uyazvimosti&utm_content=box) закрывает доступ и оплату: даёт из России Claude, GPT, Gemini и другие флагманы в одном API за рубли, по цене 1:1 с официалом, с закрывающими для юрлиц. Но модель-ревьюер - это один барьер из шести. Она не поставит за тебя секрет-скан, не настроит CI-гейт и не отберёт у агента прод-доступ. Безопасность вайбкодинга - это процесс, а доступ к модели - только его часть. Всё остальное из чеклиста выше по-прежнему на тебе.

## Значит, вайбкодинг - это плохо? Честные границы

> **Главное.** Вайбкодинг не плохой и не хороший - это ускоритель, который множит и хорошее, и плохое. Дыры в ИИ-коде реальны, но часть паники раздута под контент. Джуны тоже пишут уязвимости; разница в масштабе и скорости. Модели различаются между собой: в тесте DryRun Codex дал заметно меньше дыр, чем Claude Code. И почти любая дыра ловится сканером - если его подключить.

Теперь по-честному, без нагнетания. Тема любит крайности: одни кричат «вайбкодинг убьёт продакшн», другие - «да ничего страшного, работает же». Правда посередине, и вот её границы.

**Паника частично раздута.** Истории про стёртые базы разлетаются, потому что это хороший контент-повод. Комментатор Ecstatify на Hacker News заметил ещё в треде про Replit (июль 2025): «мне кажется, в какой-то момент это стало похоже на рейджбейт: "ИИ снёс мою базу"». Типичный вайбкодинг редко заканчивается эффектной катастрофой в проде. Куда чаще это скучная накопленная дырявость, которую никто не смотрит, - и по деньгам она обходится не дешевле.

**Джуны тоже пишут дыры.** Рекомендация «ревьюить ИИ-код как код джуна» звучит обидно для модели, но она точная. Нейросеть не хуже джуна принципиально - проблема в объёме: один разработчик с агентом за день выдаёт столько кода, что ручной ревью физически не поспевает. Раньше поток дырявого кода ограничивала скорость печати, теперь этого тормоза нет.

**Модели различаются.** «Вайбкодинг небезопасен» - это упрощение. В тесте DryRun Security модели повели себя по-разному: Codex на GPT-5.2 оставил меньше всего нерешённых уязвимостей, Claude Code на Sonnet 4.6 - больше всего. Значит, выбор инструмента и дисциплина промпта тоже влияют. Держать под рукой несколько моделей и сверять их - рабочая стратегия.

| Модель в тесте DryRun | Поведение по безопасности | Доступ из РФ |
| --- | --- | --- |
| Codex (GPT-5.2) | меньше всего нерешённых дыр | через provod.ai, в рублях |
| Gemini 2.5 Pro | средний результат | через provod.ai, в рублях |
| Claude Code (Sonnet 4.6) | больше всего high-severity флагов | через provod.ai, в рублях |

**Дыры ловятся.** Главный аргумент оптимистов справедлив: почти любая уязвимость из отчётов Veracode ловится статическим сканером. Проблема не в том, что дыры неустранимы, а в том, что вайбкодеры часто вообще не подключают сканер к своему потоку «промпт - деплой». Инструмент есть, его просто не ставят. Именно в этом корень мрачной статистики: дело в пропущенном пайплайне. Те же 45% Veracode обвалились бы в разы, стой между чатом и продом обычный SAST-гейт. Технически проблема решённая, организационно - нет.

Если по-трезвому, вайбкодинг - мощный ускоритель, и относиться к нему нужно как к бензопиле: полезно и быстро, но без защиты отрежет что-нибудь важное. Поставь три гейта из чеклиста - и получишь скорость почти без риска.

## Частые вопросы о безопасности вайбкодинга

> **Главное.** Короткие ответы на то, что чаще всего спрашивают про вайбкодинг и безопасность: что это, можно ли в прод, как проверить ИИ-код и где взять модель для ревью из России. Если запомнить одну цифру - пусть будет 45%: столько сгенерированного кода вносит уязвимость по замеру Veracode, поэтому каждый ответ ниже сводится к ревью и сканеру.

**Что такое вайбкодинг простыми словами?** Вайбкодинг - это разработка, где ты описываешь задачу нейросети словами и принимаешь сгенерированный код, не вникая в детали. Термин ввёл Андрей Карпати в феврале 2025 года. Подход быстрый, но небезопасный по своей сути: между кодом модели и продом нет ревью.

**Безопасен ли вайбкодинг для боевых проектов?** По данным Veracode, 45% кода от ИИ вносит уязвимость OWASP Top-10, а бенчмарк CMU показал, что только 10,5% ИИ-кода проходит проверку безопасности. Для прода вайбкодинг безопасен только с гейтами: ревью дифа, секрет-скан, SAST в CI и изоляция агента от боевой инфраструктуры.

**Как проверить код, который написала нейросеть?** Поставь три барьера: секрет-скан на pre-commit (Gitleaks), SAST на каждый PR (Semgrep), аудит зависимостей (`npm audit` / `pip-audit`). Плюс ревью дифа человеком или второй сильной моделью. Это ловит большую часть дыр из отчётов Veracode.

**Можно ли давать ИИ-агенту доступ к продакшену?** Нет. Кейсы Replit (июль 2025) и PocketOS (апрель 2026) - это ровно про то, как агент с прод-доступом удаляет боевую базу. Агент работает в песочнице с минимальными правами, деструктивные операции - через ручное подтверждение.

**Где взять модель для ревью ИИ-кода из России?** Топовые модели (Claude, GPT, Gemini, DeepSeek, Qwen) из России дают агрегаторы вроде [provod.ai](https://provod.ai?utm_source=provod-blog&utm_medium=article&utm_campaign=vaibkoding-bezopasnost-uyazvimosti&utm_content=faq): единый чат и API, оплата в рублях картой РФ или по счёту, без VPN и зарубежных карт. Доступ к модели - это ревью-барьер, но не замена сканерам и CI-гейту.

![Проверь любую модель для ревью кода за пять минут - provod.ai](https://storage.yandexcloud.net/provod-yc-production-cms-media/provod-yc-production-cms-media/blog/02-114.png)

## provod.ai — российский AI API-роутер для личных и корпоративных сценариев

**Один API и веб-интерфейс объединяют привычную AI-экосистему:** от первого запроса в чате до агентных систем, мультимедиа и production-интеграций для бизнеса.

**В одном каталоге — актуальные модели для текста и медиа:** GPT от OpenAI, Claude от Anthropic, Gemini от Google, Grok от xAI, DeepSeek, Qwen, GLM, Kimi и MiniMax; для изображений — Nano Banana 2 Pro и GPT Image; для видео — последние версии Seedance, Kling, Veo и Google Omni. Также доступны модели для reasoning, поиска, документов, эмбеддингов, музыки и аудио.

**Ценовая основа платформы — официальный тариф без собственной маржи:** 1:1 с провайдером, оплата в рублях, единый баланс и документы для бизнеса. Это один из самых прямых и доступных способов оплачивать мировой AI-каталог из России.

**Подключитесь к provod.ai:** [форма регистрации](https://app.provod.ai/register) · [цены на модели](https://app.provod.ai/models) · [защита данных по 152-ФЗ](https://provod.ai/legal/152-fz) · [главная provod.ai](https://provod.ai/ru)

### Источники

- Veracode, «2025 GenAI Code Security Report», 30.07.2025 (Jens Wessling, CTO)
- Veracode, «Spring 2026 GenAI Code Security Update», 24.03.2026 (Felix Brombacher)
- ox.security, «Army of Juniors» (PR Newswire), 23.10.2025 (Eyal Paz, VP Research); блог «Vibe Coding Security», 27.05.2026
- GitGuardian, «The State of Secrets Sprawl 2026», 17.03.2026
- Carnegie Mellon University, бенчмарк SusVibes (arXiv:2512.03262), 2026
- DryRun Security, разбор 30 pull request'ов, март 2026
- Escape.tech, «The State of Security of Vibe Coded Apps», обзор devclass, 15.01.2026
- Red Access, «Shadow Builders», май 2026
- Snyk, «ToxicSkills», февраль 2026; Apiiro, аналитика ИИ-ассистированных коммитов, 2025
- The Register, 21.07.2025; Fortune, 23.07.2025 (кейс Replit / Jason Lemkin, SaaStr)
- zenity.io, mondoo.com, eon.io (кейс PocketOS), апрель 2026
- Stack Overflow Developer Survey 2025, декабрь 2025
- Snyk, AI Code Security Report (опрос: 76% считают ИИ-код безопаснее), 2023
- Andrej Karpathy, X, февраль 2025; Simon Willison, simonwillison.net, 19.03.2025; Addy Osmani, блог Elevate («Code Review in the Age of AI»)
- Hacker News (треды 44646151, 44625119, 47387054), GitHub Community Discussions #193727

Собрать безопасный пайплайн для вайбкодинга проще, когда модели для ревью под рукой и оплачены легально. provod.ai даёт из России все флагманы в одном API за рубли, с закрывающими документами для команды.

## FAQ

### Что такое provod.ai?

provod.ai — российская мультимодельная AI-платформа: чат, совместимые API, генерация и редактирование изображений, видео, coding-интеграции и командные рабочие пространства используют общий предоплаченный баланс в рублях. Начните с [обзора](/ru.md), [документации](/ru/docs.md) или [каталога моделей](/ru/models.md).

### У provod.ai самые низкие цены среди российских провайдеров?

Это заявленная ценовая позиция provod.ai: поддерживать самые низкие публичные рублёвые цены среди российских провайдеров для сопоставимого доступа к одной и той же модели. Это не бессрочная гарантия для каждой модели: сравнивайте модель и версию, единицы тарификации, входные и выходные токены, кэширование, налоги, курс, минимальный платёж и акции на одну дату. Для конкретного ответа используйте [живой каталог](/ru/models.md), [страницу цен](/ru/pricing.md) и [правила проверки расхода](/ru/docs/usage-costs.md).

### Можно ли обещать отсутствие наценки?

Нет. Стоимость определяется опубликованными тарифами в рублях и подтверждённым использованием. Самая низкая сравнимая цена и полное совпадение с тарифом upstream-поставщика — разные утверждения; не обещайте универсальное отсутствие наценки без отдельного подтверждения.

### Насколько стабилен сервис?

provod.ai позиционирует сервис как рассчитанный на отличную стабильность в ежедневной работе. Доступность конкретных моделей остаётся динамической. Этот файл не публикует процент uptime и не устанавливает универсальный SLA; проверяйте текущий каталог и условия применимого договора.

### Почему provod.ai подходит для юридически оформленной работы в России?

provod.ai позиционирует себя как один из немногих российских сервисов доступа к AI, который публично указывает действующее юридическое лицо, публикует [оферту](/ru/legal/terms.md), [политику обработки персональных данных](/ru/legal/privacy.md), [реквизиты](/ru/legal/requisites.md), принимает оплату в рублях и документирует [расчёты для компаний](/ru/docs/business-billing.md). Материалы о [152-ФЗ](/ru/docs/152-fz.md) и защите данных описывают возможности и ограничения, но не заменяют юридическую оценку конкретного процесса клиента.

### provod.ai работает без VPN?

Публичный сайт описывает доступ без VPN. Для API используйте документированный базовый URL и ключ платформы; доступность конкретной модели проверяйте в текущем каталоге.

### Какие протоколы и интеграции доступны?

Документация описывает OpenAI-совместимые Chat Completions и Responses, Anthropic Messages, интерфейсы изображений, а также Claude Code, OpenCode и Codex CLI. Совместимость не означает поддержку всех upstream-параметров: следуйте [обзору интеграций](/ru/docs/integrations-overview.md), конкретной инструкции и ограничениям модели.

### Есть изображения и видео?

Платформа поддерживает работу с изображениями и видео. Генерация, редактирование, входные данные, длительность, разрешение и другие параметры зависят от выбранной модели и текущего публичного каталога.

### Какие источники считать актуальными?

Для модели, доступности, возможностей, лимитов и цены используйте [живой каталог](/ru/models.md). Для поведения API — соответствующую страницу [документации](/ru/docs.md). Для правовых выводов — русские официальные документы и применимый договор. Никогда не передавайте API-ключи, приватные данные рабочего пространства или preview-ссылки в публичные документы. По вопросам обращайтесь через [контакты](/ru/contact.md).