AI schrijft snel werkende code. Werkend is niet hetzelfde als veilig. Dit is wat er structureel misgaat in AI-gebouwde apps, en hoe je het afvangt.
Waarom AI-code juist hier struikelt
Een AI-assistent optimaliseert op één ding: het werkt in de preview. Beveiliging is onzichtbaar in die test — een tabel zonder rechten werkt perfect, tot iemand hem uitleest. De fouten die overblijven zijn dus systematisch dezelfde.
Dat is goed nieuws: een beperkte lijst met controles vangt het overgrote deel af.
De terugkerende patronen
- Databasetabellen zonder rechten, of met een policy die iedereen toelaat.
- Geheime sleutels die in de browserbundel belanden of in de repository staan.
- Rollen en rechten die de gebruiker zelf kan aanpassen.
- Server-functies zonder controle op wie ze aanroept.
- Invoer die ongecontroleerd naar de database of naar een externe dienst gaat.
- Verouderde of kwetsbare packages, meegekomen met een suggestie van maanden geleden.
- Foutmeldingen die interne details naar de bezoeker teruggeven.
Vergelijk deze fouten met de OWASP top 10 en controleer ook hoe je Supabase beveiligen aanpakt.
Wat een review niet oplost
Eén keer laten nakijken helpt voor die versie. Maar bij vibe coding verandert de code dagelijks, en elke nieuwe prompt kan een gat terugzetten dat je vorige week dichtte. Beveiliging moet daarom meelopen met elke wijziging, niet los eroverheen komen.
Een werkbare aanpak
Vier stappen die je in een middag kunt inrichten:
- Zet een scan op je repository die bij elke push draait.
- Blokkeer de dingen die echt niet mogen: gelekte sleutels, tabellen zonder rechten.
- Laat fixes binnenkomen als pull request, zodat je ze leest voor je ze accepteert.
- Controleer voor elke deploy of er nog open bevindingen zijn.
Begin met checken of je app veilig is voordat je echte gebruikers toelaat.
Veelgestelde vragen
Is vibe coding onveilig?
Niet per definitie. De code die AI schrijft is vaak prima; wat ontbreekt is alles wat je in een preview niet ziet — rechten, sleutelbeheer, invoercontrole. Die laag moet je er bewust bij organiseren.
Kan ik AI vragen om zijn eigen code te beveiligen?
Deels. Vragen om betere rechten of invoercontrole helpt, maar dezelfde assistent mist dezelfde dingen opnieuw. Een controle buiten het gesprek om is betrouwbaarder.
Heb ik een pentest nodig?
Een pentest is waardevol voor een app die live staat en echte gegevens verwerkt. Voor een project dat nog dagelijks verandert is doorlopend scannen praktischer en goedkoper; een pentest komt daarna.
Welke tools zijn er nog meer?
Er is een hele markt van scanners voor applicatiebeveiliging, van brede platformen tot specialistische tools. VibeShield richt zich specifiek op apps die met AI-tools zijn gebouwd en op de fouten die daar typisch in zitten.