Vibe Coding: bagaimana caranya pengembangan yang mudah merusak keamanan perangkat lunak

Dalam beberapa tahun terakhir, neural network yang didukung oleh model bahasa besar telah berkembang pesat dari alat percakapan berbasis teks yang menyenangkan menjadi alat kerja yang lengkap dan aktif digunakan di berbagai bidang. Kecepatan perkembangan AI yang mengkhawatirkan telah menjadi isu perdebatan sengit, dan kita sudah dapat melihat hasilnya di mana-mana: dari gambar pada brosur iklan penyedia lokal hingga pengaruhnya pada proses global. Tentu saja, sebagai produk industri digital, neural network pertama-tama dan paling banyak berdampak pada sektor IT, termasuk proses pengembangan perangkat lunak.

Di komunitas profesional, siklus pengembangan perangkat lunak dilindungi dengan standar yang ketat, yaitu pengujian kode yang wajib, pengujian multi-tahap, dan audit database kode. Dalam lingkungan ini, neural network telah menjadi alat yang sangat pas untuk otomatisasi tugas-tugas rutin, misalnya, dapat menulis kode standar atau membantu menghasilkan pengujian otomatis. Namun, di luar korporasi besar dan pemegang prinsip lama, kemajuan pesat AI telah menciptakan fenomena yang sama sekali berbeda, yang dikenal sebagai "vibe coding." Istilah ini menggambarkan pendekatan di mana seseorang yang seringkali jauh dari pemrograman klasik menciptakan perangkat lunak dengan fungsi lengkap tanpa pernah menulis satupun baris kode secara manual. Yang dibutuhkan hanyalah merumuskan tugas untuk asisten AI dalam bentuk teks menggunakan bahasa yang sederhana.

Euforia "demokratisasi" pengembangan semacam ini telah meluas melampaui eksperimen rumahan dan secara efektif menciptakan pasar untuk pengembangan cepat. Mewujudkan sebuah ide menjadi produk yang berfungsi menjadi lebih mudah dari sebelumnya, memungkinkan siapapun untuk menciptakan secara mandiri layanan web, aplikasi seluler, atau chatbot dalam waktu beberapa jam saja. Pada saat yang sama, industri keamanan informasi telah menghadapi peningkatan kerentanan yang sangat besar pada perangkat lunak yang dihasilkan. Salah satu masalahnya disebabkan asisten AI hanya berfokus pada fungsionalitas langsung dengan menghasilkan kode yang hanya memenuhi keinginan pengguna. Dengan pendekatan ini, keamanan, stabilitas, dan efisiensi algoritma secara keseluruhan tidak dijadikan prioritas pertama, dan pencipta proyek tidak dapat mengevaluasi kekurangan arsitektur yang tersembunyi.

Dalam edisi blog hari ini kita akan membahas bagaimana minat terhadap pengkodean  meluas berdampak pada keamanan ekosistem digital, dan risiko yang ditimbulkan oleh kerentanan dalam perangkat lunak tersebut bagi pengguna akhir.

Operator kotak hitam

Untuk memahami mengapa solusi yang dibuat menggunakan vibe coding menimbulkan ancaman mendasar, kita harus menggali akar masalahnya. Kerentanan ini berasal dari dua kelemahan utama, satu di sisi manusia dan satu di sisi neural network.

Faktor pertama adalah ketidakmampuan pencipta program untuk menghadapi kodenya sendiri. Seorang vibe coder beroperasi dalam kondisi kekurangan informasi total, berinteraksi dengan program seolah-olah itu adalah sebuah kotak hitam. Pendekatan ini secara fundamental berbeda dari pekerjaan seorang programmer profesional, bahkan jika mereka berinteraksi dengan API dan library tertutup. Interface pihak ketiga manapun selalu memiliki dokumentasi yang ketat, tipe data yang tetap, dan spesifikasi yang jelas, tetapi yang terpenting, pengembang memiliki keahlian engineering dasar dan pemahaman tentang hubungan sebab-akibat.

Namun, program yang dihasilkan AI tidak memiliki batasan seperti itu. Penciptanya hanya melihat sisi luarnya program (termasuk interface yang berfungsi, tombol, formulir), tetapi tidak memahami logika internal pemrosesan data. Tanpa mengetahui cara suatu fungsi beroperasi, seseorang tidak dapat membuat model ancaman dan menguji bagaimana aplikasi akan bereaksi terhadap tindakan yang tidak biasa atau jahat dari penyerang. Mereka tidak dapat bertanya, "Bagaimana jika penyerang memberikan angka atau string negatif alih-alih JSON yang diharapkan?" Program beroperasi normal, tetapi sama sekali tidak berdaya melawan tindakan yang tidak biasa dari penyerang.

Faktor kedua berasal dari sifat dasar AI. Penting untuk diingat bahwa neural network bukanlah seorang programmer dan tidak memiliki pemikiran teknik, tetapi merupakan suatu kompiler probabilistik dengan basis pengetahuan yang sangat besar, yang logikanya dibangun di atas skala matematika. AI tidak membuat kode dari nol berdasarkan pertimbangan keamanan dan optimasi, tetapi menghasilkan urutan karakter yang paling mungkin berdasarkan terabyte data yang telah digunakan untuk melatihnya. Kenyataannya, neural network tidak peduli apakah ia sedang menghasilkan kode yang sangat penting, postingan blog, atau resep untuk hidangan yang tidak ada. Dan di sini ketergantungan pada matematika langsung berperan: semakin besar databasenya, semakin tinggi kemungkinan mendapatkan hasil yang “cacat” dan tidak aman. Neural network merata-ratakan pengalaman jutaan repositori sumber terbuka di Internet, di mana pendekatan yang ketinggalan zaman, kesalahan besar, dan kode lama telah terakumulasi selama bertahun-tahun. Akibatnya, AI menghasilkan solusi standar yang memenuhi tujuan pengguna, tetapi pada saat yang sama mengandung kerentanan dari dua puluh tahun yang lalu.

Warisan digital masa lalu: di mana AI mendapatkan kebiasaan buruk

Ada ilusi berbahaya bahwa jaringan neural network dari para raksasa teknologi dilatih secara eksklusif pada kode referensi yang steril. Pada kenyataannya, database  yang digunakan untuk melatih model LLM merupakan serangkaian besar warisan digital dari seluruh industri IT selama beberapa dekade terakhir.

Pembaca yang cermat mungkin bertanya: masa pencipta AI tidak bisa membersihkan kumpulan data dari "sampah" dan kode lama? Faktanya, ini tidak mungkin dilakukan pada tingkat sistem. Agar model bahasa yang besar dapat memahami sintaks dan semantik pemrograman, menerjemahkan dari Python ke C++, dan mempertahankan konteks, dibutuhkan triliunan token data. Jika AI dilatih hanya pada kode "sempurna" (misalnya, kernel Linux, database perusahaan anonim, atau pustaka referensi), ukuran set pelatihan akan menyusut hingga ribuan kali lipat. Model tersebut tidak akan mengumpulkan bobot matematis yang cukup untuk menjadi fleksibel dan universal, sehingga akan menjadi buku referensi yang kaku, hanya mampu menulis serangkaian templat yang terbatas, dan akan kehilangan kemampuan untuk memecahkan masalah pengguna yang tidak standar secara kreatif.

Selain itu, "trash code" juga merupakan sumber data yang berharga. Bagi neural network, kode yang buruk atau rusak bukanlah kesalahan yang perlu dihapus dari database, melainkan konteks yang krusial. Agar neural network menjadi fleksibel, dapat memahami konteks, dan yang terpenting, mampu bertindak sebagai peninjau, artinya menemukan dan memperbaiki bug orang lain, ia harus mengetahui kesalahan itu seperti apa. Model harus memproses jutaan contoh kode yang beragam, konfigurasi yang tidak aman, dan pendekatan yang ketinggalan zaman dari forum teknis untuk belajar mengenali kesalahan tersebut.

Namun, arsitektur seperti itu memiliki kelemahan. Bahkan setelah penyaringan yang ketat, yang tentu saja diterapkan oleh pengembang, AI tetaplah sebuah kompilator probabilistik, bukan generator logika yang sempurna. Neural network tidak memiliki cara pemikiran seperti insinyur dan tidak memahami keamanan pada tingkat konseptual, tetapi hanya mencari pola statistik dan menghitung rangkaian kata berdasarkan bobot matematisnya. Ketika seorang vibe coder merumuskan tugas (misalnya, "tulis fungsi dengan cepat untuk mengirim data ke server"), AI mengambil jalan termudah dan menghasilkan versi rata-rata secara matematis dari database di mana pemeriksaan keamanan sering dinonaktifkan demi kesederhanaan dan kinerja kode.

Akibatnya, aplikasi yang dibuat oleh neural network secara besar-besaran diintegrasikan kembali dengan kesalahan sistem yang diciptakan dua puluh tahun yang lalu atau solusi yang jelas-jelas gagal hanya karena algoritma, hanya karena telah menyusun hasil yang memungkinkan dari digital noise sebagai respons terhadap permintaan pengguna. Mari kita memantau beberapa contoh di antaranya:

• Kredensial yang “tertanam”. AI dapat menyisipkan kata sandi uji, kunci enkripsi rahasia, atau token API langsung ke dalam kode program. Seorang vibe coder menyalin kutipan kode ini ke dalam lingkungan operasional, tanpa menyadari bahwa penyerang yang mendapatkan akses ke file aplikasi akan langsung membahayakan infrastruktur terkait.

• Kriptografi usang dan algoritma lemah. Neural network secara reguler menyarankan penggunaan standar fungsi hash yang usang (seperti MD5 atau SHA-1) untuk melindungi data. Selain itu, AI sering menghasilkan kode ini dalam bentuk yang disederhanakan, tanpa menggunakan "salt" kriptografi (data acak yang ditambahkan ke kata sandi sebelum di-hash). Akibatnya, keamanan menjadi lemah: hash dari kata sandi yang lemah dan menengah dapat dipulihkan oleh penyerang menggunakan database jadi, dan algoritma itu sendiri rentan terhadap serangan dengan pencarian tabrakan.

• Penyederhanaan signifikan demi fungsionalitas. Untuk memastikan kode dapat berfungsi sejak pertama kali digunakan dan tidak membebani pengguna dengan kesalahan, AI dapat menonaktifkan fungsi tertentu, misalnya, verifikasi sertifikat SSL selama komunikasi jaringan. Pencipta proyek tidak akan pernah melihat kerentanan tersebut, tetapi bagi seorang peretas, hal ini sangat meningkatkan potensi serangan.

Dengan demikian, program yang dikompilasi oleh kompiler probabilistik, meskipun fungsional, seringkali memiliki implementasi yang sangat lemah "di balik layar," sehingga produk jadi menjadi sasaran yang gampang terkena.

Longsoran kode: mengapa jumlah yang berlebihan membunuh audit

Masalah mendasar lain dari vibe coding adalah peningkatan volume pengembangan yang dahsyat. Programmer jadul dan insinyur profesional masih ingat betul masa-masa ketika setiap byte memori sangat berharga, dan program luar angkasa yang paling kompleks atau aplikasi ikonik dapat dikemas ke dalam beberapa kilobyte kode. Pendekatan ini membutuhkan disiplin yang ketat, pemahaman mendalam tentang arsitektur, dan optimasi yang cermat untuk setiap solusi.

Di era AI coding, konsep kekompakan algoritma sama sekali hilang. Neural network menghasilkan ribuan baris kode dalam hitungan detik, memungkinkan satu orang untuk menciptakan dalam sehari software dengan volume yang sebelumnya membutuhkan waktu satu bulan bagi seluruh tim untuk menulisnya. AI secara instan membangun konstruksi pemrograman yang rumit dan berlebihan berdasarkan permintaan berbentuk teks. Akibatnya, proyek sederhana dapat tumbuh menjadi raksasa dalam beberapa hari, sebuah efek yang disebut "longsoran kode".

Dari perspektif keamanan informasi, volume yang berlebihan ini merupakan kerentanan utama, karena basis kode menjadi sama sekali tidak transparan. Meskipun pada salah satu edisi sebelumnya kita telah membahas secara detail pentingnya pemeriksaan kode sumber untuk keamanan produk, vibe coding meniadakan alat pelindung ini. Bahkan seorang pengembang sungguhan secara fisik tidak mampu membaca dan memahami susunan teks raksasa yang dihasilkan neural network dalam setengah jam. Kesalahan logika, kekurangan implementasi yang tersembunyi, dan fungsi tambahan pasti muncul di antara tumpukan kode yang tak berujung ini. Pada intinya, proyek tersebut tidak hanya kehilangan programmer, tetapi juga kehilangan pengujian dan audit, dan akibatnya, kehilangan keamanan pula.

Landasan sempurna untuk Supply Chain Attack

Serangan rantai pasokan (Supply Chain Attack) selalu dianggap sebagai salah satu insiden keamanan siber yang paling berbahaya. Sifat licik dari metode ini adalah penyerang tidak meretas produk jadi, melainkan menyusup ke dalam proses produksinya dan pengiriman update otomatis. Dan di sini proyek yang dibuat menggunakan vibe coding adalah target yang sempurna.

Hal ini dikarenakan vibe coding dibangun sepenuhnya di atas teknologi cloud: platform AI secara otomatis menyimpan kode di repositori online dan menyebarkan situs web atau chatbot yang sudah jadi ke server produksi jarak jauh hanya dengan satu klik. Penyempurnaan dan peningkatan program yang terus-menerus juga dilakukan melalui cloud. Dan di sinilah penyerang memiliki celah. Jika peretas mencuri kata sandi akun cloud yang digunakan vibe coder untuk pengembangan, mereka dapat dengan mudah mengakses proyek dan menanamkan backdoor berbahaya di repositori. Penyerang hanya perlu menghasilkan kode destruktif menggunakan AI yang sama, sehingga dapat meniru proyek tertentu dengan sempurna. Vibe coder di sini seolah-olah buta dan tidak akan pernah menyadari adanya barisan asing apapun dalam aliran kode. Dengan pembaruan program otomatis berikutnya melalui cloud, backdoor akan memasuki lingkungan produksi, dan pencipta proyek bahkan tidak akan menyadari pada titik mana situs web atau program mereka telah menjadi senjata di tangan penyerang.

Namun, ada metode serangan rantai pasokan lain yang jauh lebih canggih, khusus untuk era modern, yaitu peracunan melalui "halusinasi" model AI. Neural network sering merakit program seperti kit konstruksi dari ribuan modul siap pakai milik orang lain. Selain itu, AI cenderung mengarang nama-nama library yang tidak ada dan menyarankan pengguna untuk menginstalnya untuk menyelesaikan suatu masalah. Penyerang menggunakan skrip khusus yang terus-menerus menanyakan AI dan menyusun database nama-nama fiktif tersebut. Penyerang kemudian mendaftarkan paket berbahaya di repositori publik resmi dengan nama-nama ini. Pengembang kode tanpa disadari mengikuti instruksi dari chat neural network, menyalin perintah instalasi, dan pipeline pengembangan cloud secara otomatis mengunduh modul yang diracuni peretas langsung ke dalam proyek. Dengan demikian, kepercayaan buta pada algoritma dan kurangnya keahlian menciptakan kondisi ideal untuk serangan berbahaya.

Mengapa vibe coding layak ada

Ancaman yang dijelaskan di atas tampak meluas, tetapi tidak perlu melebih-lebihkan kerentanan "vibe coding" dan panik. Dalam industri keamanan siber yang sebenarnya, serangan terhadap kode telah dipelajari dengan baik, dan pendekatan perlindungan modern dapat mengurangi efektivitasnya secara terus-menerus, bahkan ketika program "buatan" semacam itu terus muncul.

Pertama, perlu diyakinkan kepada pembaca: perangkat lunak komersial skala besar tidak pernah dibuat menggunakan vibe coding. Pengembangan profesional diatur oleh standar arsitektur yang ketat, sehingga aplikasi buatan sendiri sama sekali tidak memiliki peluang untuk menembus infrastruktur perusahaan besar atau server layanan penting. Komunitas IT profesional tahu cara membatasi lingkungan tepercaya dengan jelas dan segera mengurangi potensi ancaman.

Kedua, ketidakjelasan pasif perangkat lunak rentan yang dirancang oleh AI berakhir segera setelah analisis anomali dan pemantauan perilaku dimulai. Di sinilah garis pertahanan utama pengguna akhir berperan: perangkat lunak antivirus yang komprehensif. Tidak masalah siapa yang menciptakan program tersebut, apakah itu seorang insinyur bersertifikat atau neural network berdasarkan prompt teks. Yang dievaluasi perangkat lunak antivirus bukan keindahan kode, tetapi tindakan sebenarnya dalam sistem. Begitu program yang diluncurkan oleh pengguna mencoba menunjukkan aktivitas mencurigakan (misalnya, dengan mengakses folder sistem atau diam-diam mengunduh modul pihak ketiga dari jaringan), algoritma pelindung akan langsung memblokir ancaman berdasarkan analisis heuristik.

Namun, perlindungan utama vibe coding terhadap risiko berasal bukan dari filter perangkat lunak, tetapi dari perubahan sikap terhadap teknologi itu sendiri. AI dan model bahasa yang besar adalah platform sempurna yang belum pernah ada sebelumnya untuk pembelajaran dan pertumbuhan profesional. Tetapi hanya jika proses ini dilakukan dengan bijaksana. Pembelajaran dan kreasi pada dasarnya tidak sama dengan menghasilkan produk setengah jadi demi keuntungan cepat. Ketertarikan yang meluas untuk meniru respons AI tanpa mengerti keadaan sebenarnya telah menyebabkan fenomena tragis yaitu penurunan nilai pekerjaan teknik, di mana pembuat proyek menciptakan sampah digital tanpa mencoba memahami cara kerjanya.

Pada saat yang sama, jika Anda berinteraksi dengan model AI secara sadar, hasilnya akan berubah secara dahsyat. Ketika seseorang memiliki kompetensi dasar dan berbicara dalam bahasa profesional yang sama dengan neural network, yaitu dengan jelas menetapkan batasan arsitektur, menuntut kepatuhan terhadap standar keamanan, meminta memberikan alasan pemilihan algoritma dan menguraikan masalah, maka bobot matematis model tersebut dikalibrasi ulang. AI mulai menghasilkan kode yang jauh lebih berkualitas, optimal, dan aman. Neural network adalah sebuah cermin: "vibe" yang kurang menciptakan kekacauan yang tidak terkendali, sementara pendekatan rekayasa yang ketat mengubah algoritma menjadi alat yang ampuh dan aman.

Keamanan informasi di era AI bertumpu pada aturan sederhana: jika Anda tidak dapat mengontrol cara suatu program dibuat, Anda harus mengontrol bagaimana program tersebut dieksekusi. Dan dalam konfrontasi ini, menjaga kebersihan digital dan menyediakan perlindungan antivirus yang komprehensif tetap menjadi alat yang paling andal untuk mengembalikan kendali atas lingkungan digital pengguna.

Rekomendasi dari Doctor Web!

1. Jaga kebersihan informasi yang baik - hal ini lebih penting dari sebelumnya di era AI. Evaluasi asal-usul program dan patuhi prinsip hak akses minimal. Jangan pernah memberikan hak akses admin kepada utilitas atau bot yang mencurigakan di sistem operasi atau akses ke akun-akun penting. Batasi ruang lingkup operasinya hanya pada tugas-tugas yang dirancang untuknya.

2. Gunakan perangkat lunak antivirus yang komprehensif dan terbukti dari vendor terkemuka. Pengembang produk tersebut selalu mempertimbangkan realitas modern dan menawarkan solusi keamanan terkini.

3. Jika Anda pengguna AI yang aktif, cobalah menggunakannya sebagai mentor, bukan sebagai pelaksana. Neural network menawarkan peluang luar biasa untuk mengajarkan pemrograman. Lakukan analisis dari setiap fungsi yang dibuat oleh neural network, mintalah jaringan tersebut untuk menjelaskan logika dan dekomposisi masalah kompleks baris demi baris, maka dengan pendekatan ini, Anda tidak hanya akan mendapatkan hasil, tetapi juga keterampilan berharga menggunakan contoh dunia nyata.

4. Komunikasi dengan model menggunakan bahasa teknik. Tetapkan batasan arsitektur yang ketat dalam prompt. Langsung wajibkan AI untuk mematuhi standar keamanan, memvalidasi data masuk, dan menggunakan pustaka kriptografi modern. Kueri berkualitas dan profesional memaksa model untuk menyesuaikan bobot matematisnya ke arah konteks yang lebih andal dan mengurangi jumlah halusinasi.

5. Periksa ketergantungan eksternal. Jika AI merekomendasikan instalasi library atau paket ekstensi pihak ketiga, verifikasi secara manual bahwa library atau paket tersebut benar-benar ada di repositori resmi dan memiliki riwayat update. Demikian Anda bisa mencegah proyek terkena malware pihak ketiga.