Vibe Coding und Sicherheit
Ist mit KI geschriebener Code unsicherer?
Nicht unsicherer im Sinne von schlechterem Code — die Lücken entstehen an einer anderen Stelle. Ein Modell schreibt den Code, den Sie beschrieben haben, und Sie beschreiben Funktionen, keine Bedrohungsmodelle. Alles, was üblicherweise im Review dazukommt — RLS auf der neuen Tabelle, der Ownership-Check in der neuen Route, der Bucket, der nicht öffentlich sein sollte — hat niemanden, der es beisteuert. Deshalb sind es in der Praxis immer wieder dieselben vier Befunde, und keiner davon ist exotisch.
Warum es immer dieselben vier sind
Eine neue Tabelle entsteht in einer Migration, die das Modell schreibt, und RLS ist kein Teil der Anforderung „speichere die Leads“. Eine neue Route bekommt die ID aus der URL, weil das die Aufgabe war. Ein Bucket wird öffentlich, weil das Bild sonst nicht angezeigt wird. Ein Schlüssel landet im Code, weil er dort funktioniert.
Jeder einzelne Schritt ist die naheliegende Lösung des gestellten Problems. Das Sicherheitsproblem entsteht nicht aus einem Fehler, sondern aus einer nicht gestellten Frage.
Der Selbsttest, der zwanzig Minuten dauert
Erstens: jede Tabelle im public-Schema durchgehen und prüfen, ob RLS aktiv ist und ob die Policy tatsächlich einschränkt. Zweitens: das ausgelieferte JavaScript-Bundle nach service_role, sk_live und sk- durchsuchen. Drittens: jede Route mit einer ID im Pfad einmal mit einer fremden ID aufrufen. Viertens: die Bucket-Liste öffnen und die Spalte public lesen.
Das sind dieselben vier Fragen, die Sentris automatisiert stellt. Wenn Sie sie von Hand beantworten können, brauchen Sie uns nicht — und das ist die ehrlichere Empfehlung als eine Dringlichkeit, die es nicht gibt.
Was ein Scanner nicht beantwortet
Statische Analyse zeigt, dass eine Prüfung fehlt. Sie zeigt nicht, dass sie ausnutzbar ist — dafür muss jemand die laufende Anwendung fragen. Deshalb steht in unseren Berichten potential, wo genau das der Fall ist, und confirmed nur dort, wo eine Anfrage an Ihr eigenes System das belegt hat.
Ein Werkzeug, das diesen Unterschied nicht macht, verkauft Vermutungen als Vorfälle. Wie oft wir daneben liegen, steht gemessen unter /precision.
Sentris prüft diese vier Punkte automatisch
Ein Scan braucht keinen Account und kostet nichts — Sie sehen die Anzahl der Funde, bevor Sie irgendetwas bezahlen. Wie oft wir dabei danebenliegen, steht gemessen und mit Datum unter /precision; das veröffentlicht in diesem Markt sonst niemand. Gerichtsstand Schweiz, AVV und Unterauftragsverarbeiter sind öffentlich einsehbar.
App scannenSentris is evidence of technical measures taken. It is not evidence of GDPR compliance, and nobody selling a tool can issue that.