Vibe Coding：渗透测试者的梦想

Gartner 统计 75% 的攻击经由 Web 应用发起，多数被扫描站点存在严重漏洞。作者建议开展安全编码培训、常态化代码审计与年度应用评估。

作者用两个 LLM 以相同提示词从零构建应用并审查其漏洞：vibe coding 提速明显，但 LLM 有限的上下文窗口和被跳过的安全审查，可能让开发速度与漏洞数量同步增长。

资深代码审查者盘点其在审查中最常发现的五类安全问题：日志泄露 PII 与密钥、加密实现不当等，并以 Python 和 Ruby 虚构示例说明，其概念适用于各类语言与框架。

AI 生成的代码不断堆积、人工评审跟不上，技术债逐层累积直至交付速度反噬；文章讨论在 PR 环节用工具守住代码质量门槛，并指出缺乏标准时让另一个模型盲审代码并不能解决问题。

Aikido 面向 vibe coder 的安全检查清单解释了为何用 Cursor、Lovable、v0 等 AI 工具快速开发可能泄露 API key 或引入 SQL 注入，并列出了安全上线的基本防护要点。

Tenzai 的安全基准测试让 Cursor、Claude Code、Codex、Replit、Devin 五个 AI 编码 Agent 用相同提示词构建 15 个应用，共发现 69 个漏洞，每个 Agent 都写出了带缺陷的代码，包括失效的认证与 SSRF；不过 SQL 注入和 XSS 等传统漏洞反而较少出现。