Repareer een vibe-gecodeerde app voordat hij echte gebruikers bereikt

Wat zijn de fasen van het repareren van een vibe-gecodeerde app?

Kunt u uw eigen app controleren? Een zelfcontrole in tien punten

Voor de meeste hiervan hoeft u geen code te lezen. Als een antwoord “nee” of “ik weet het niet” is, heeft de app een review nodig voor de lancering.

• Open de paginabron en zoek naar “key” of “secret”: er mogen geen privé-API-sleutels verschijnen
• Elke Supabase-tabel heeft Row Level Security ingeschakeld, met beleid dat past bij wie wat mag zien
• Firebase-beveiligingsregels staan niet in testmodus en staan geen open lees- of schrijfrechten toe
• Een uitgelogde bezoeker kan geen beheerpagina's openen of beheeracties aanroepen door de URL te raden
• Eén gebruiker kan de gegevens van een andere gebruiker niet zien door een ID in de adresbalk te wijzigen
• Prijzen en abonnementen komen van de server of de betaalprovider, nooit uit de browser
• Betaalwebhooks worden geverifieerd met het ondertekeningsgeheim van de provider
• Geheime sleutels staan in omgevingsvariabelen, niet in bestanden die in Git zijn vastgelegd
• Iemand wordt gewaarschuwd wanneer de app fouten geeft, via een tool als Sentry
• De database heeft een back-up en u hebt geprobeerd die te herstellen

Waarom heeft door AI gegenereerde code een review nodig?

AI-modellen schrijven code die antwoordt op de prompt. Ze zijn veel minder betrouwbaar bij dingen waar niemand om vroeg: welke gebruiker dit mag doen, wat er gebeurt bij onverwachte invoer, wat als twee verzoeken tegelijk binnenkomen. Veracode testte in 2025 meer dan 100 modellen op 80 codeertaken en vond dat 45% van de resultaten een bekende klasse beveiligingsfout bevatte, zonder duidelijke verbetering bij grotere of nieuwere modellen.

De gevolgen zijn echt. In 2025 scande een onderzoeker 1.645 apps uit de openbare showcase van één AI-appbouwer en vond 170 waarvan de databasetabellen konden worden gelezen met alleen de openbare sleutel die naar elke browser wordt verzonden, omdat Row Level Security niet was ingeschakeld. Het probleem werd vastgelegd als CVE-2025-48757. Het platform betwistte de verantwoordelijkheid en wees erop dat elke app-eigenaar zijn eigen gegevensregels beheert, en dat is precies het punt: de eigenaar moet het controleren.

Welke problemen komen voor in welke AI-tools?

De tool doet minder ter zake dan de stack die hij genereert. Dit zijn de patronen waar wij het eerst naar zoeken.

Wanneer stopt u met prompten en roept u een ontwikkelaar in?

Een bruikbare vuistregel: als dezelfde bug drie pogingen heeft overleefd, is de oorzaak waarschijnlijk structureel. Elke nieuwe prompt voegt meestal een tijdelijke omweg toe in plaats van de oorzaak op te lossen, en de codebase wordt na elke ronde moeilijker te wijzigen. Dat is het moment waarop iemand de code moet lezen in plaats van beschrijven.

Schakel vóór de lancering een ontwikkelaar in als de app persoonsgegevens opslaat, betalingen verwerkt of door een bedrijf wordt gebruikt om de bedrijfsvoering te draaien. In die gevallen zijn de kosten van een gemist beveiligingslek veel hoger dan de kosten van een review.

Veelgemaakte fouten bij het herstellen van door AI gebouwde code

• De AI vragen of de code veilig is

  Een model dat zijn eigen output beoordeelt, is geneigd het met zichzelf eens te zijn. Gebruik een mens of een speciale scanner, bij voorkeur beide.

• Symptomen in de interface verhelpen

  Een knop verbergen stopt het verzoek erachter niet. Rechten horen op de server en in de database.

• Sleutels verwijderen zonder ze te vervangen

  Een sleutel die uit de code is verwijderd, blijft geldig en staat nog in de Git-historie. Vervang hem bij de provider.

• Blindelings pakketten toevoegen die de AI voorstelde

  Modellen stellen soms pakketten voor die niet bestaan of verouderd zijn. Controleer elk pakket voordat u het installeert.

Ons standpunt