Deck workshop: Amankah aplikasi vibe-coded Anda?

Tombol panah untuk berpindah. F untuk layar penuh. N untuk catatan pembicara.

Amankah aplikasi vibe-coded Anda?

Workshop Vibe praktik langsung untuk orang yang membangun dengan AI

vibe1 / 24

AI Anda menulis kodenya. Anda yang menanggung akibatnya.

vibe2 / 24

Siapa yang mau kasih tahu para vibe coder soal...

Rate limiting · Idempotency · Row-level security · Timeout · Webhook · Secret · Rollback · Backup · Prompt injection · dan 102 lainnya

vibe3 / 24

Buktinya

Sekitar 44% tugas pembuatan kode oleh AI memunculkan kerentanan yang sudah dikenal (Veracode, 2026)
170+ aplikasi terekspos karena satu policy database yang hilang (CVE-2025-48757)
1 agen AI menghapus database produksi yang sedang berjalan saat code freeze (Juli 2025)

vibe4 / 24

Bagian 1. Pola pikir

20 menit

vibe5 / 24

Kode AI gagal dengan cara yang bisa ditebak

Ia mengecek siapa Anda, tapi tidak mengecek apa yang Anda miliki
Ia menaruh secret di mana saja yang praktis
Ia menulis happy path dan menelan error
Ia menjalankan query di dalam loop
Ia mengarang package yang tidak ada
Ia bilang "selesai, semua test lolos" tanpa menjalankan apa pun

vibe6 / 24

Lima lensa

Lawan. Bagaimana kalau penggunanya adalah penyerang?
Skala. Bagaimana kalau 1.000 orang melakukan ini bersamaan?
Kegagalan. Bagaimana kalau layanan yang saya panggil lambat atau down?
Perubahan. Bagaimana cara merilis dan membatalkan ini dengan aman?
Visibilitas. Bagaimana saya bisa tahu kalau ini rusak?

vibe7 / 24

Blast radius

A. Bisa dibatalkan dan privat: rilis dengan bebas
B. Menyentuh data pengguna: access control dan backup
C. Uang atau identitas: idempotency, audit, test
D. Tindakan yang tak bisa dibatalkan atau eksternal: persetujuan manusia dan kill switch

vibe8 / 24

Bagian 2. Kenalan dengan Ledgerly

Spesifikasi aplikasi sungguhan dengan 14 security test. 10 menit

vibe9 / 24

Persiapan

cd vibe-starter
npm install
npm run score

Hasil yang diharapkan: 0 / 14 lolos

vibe10 / 24

Aturannya

Gunakan AI assistant Anda untuk membangun setiap fitur
Baca setiap diff sebelum Anda menerimanya
Jangan pernah mengubah test
Minta AI Anda menjelaskan test yang gagal sebelum ia menulis apa pun

vibe11 / 24

Bagian 3. Siapa bisa melihat apa?

Access control, injection, secret. 50 menit

vibe12 / 24

Broken access control adalah risiko nomor satu

OWASP Top 10:2025, A01. Aplikasi mengecek bahwa Anda sudah login, bukan bahwa invoice itu milik Anda.

Coba: minta AI Anda membangun endpoint invoice. Login sebagai Bob lalu ganti ID invoice-nya. Invoice siapa yang Anda lihat?

vibe13 / 24

Secret tidak boleh ada di browser

Apa pun yang ada di frontend bundle bersifat publik. Buka dev tools, cari sk_.

Kalau sebuah key bocor, rotasi. Menghapus file tidak menghapus riwayat git.

vibe14 / 24

Lab: loloskan test 01 sampai 07

Access control, SQL injection, secret, XSS, rate limiting, password hashing, N+1

Target skor: 7 / 14

vibe15 / 24

Istirahat

15 menit

vibe16 / 24

Bagian 4. Saat ada yang salah

Timeout, webhook, race condition. 40 menit

vibe17 / 24

Jaringan bisa gagal di tengah jalan

Setiap panggilan keluar butuh timeout
Retry butuh idempotency, atau pelanggan ditagih dua kali
Webhook butuh pengecekan signature dan deduplikasi
Check-then-act butuh atomic update

vibe18 / 24

Bagian 5. Saat input adalah serangannya

SSRF dan prompt injection. 40 menit

vibe19 / 24

Kombinasi mematikan

Agen AI berbahaya jika memiliki ketiganya sekaligus:

Akses ke data privat
Paparan terhadap konten yang tidak tepercaya
Cara untuk bertindak atau mengirim data keluar

Hilangkan satu kaki untuk setiap tugas.

vibe20 / 24

Lab: loloskan test 08 sampai 14

Target skor: 14 / 14

vibe21 / 24

Bagian 6. Bawa pulang