Dek bengkel: Selamatkah aplikasi vibe-coded anda?
Kekunci anak panah untuk bergerak. F untuk skrin penuh. N untuk nota penceramah.
Selamatkah aplikasi vibe-coded anda?
Bengkel Vibe secara hands-on untuk mereka yang membina dengan AI
vibe1 / 24Selamat datang semua. Tanya: angkat tangan jika anda pernah menghantar sesuatu yang kebanyakannya dibina oleh AI. Kekalkan tangan jika pengguna sebenar sudah log masuk. Kekalkan lagi jika ia menerima bayaran. Merekalah sasaran sesi ini. Aturan majlis hari ini: 3.5 jam, satu rehat.AI anda menulis kod. Anda menanggung akibatnya.
vibe2 / 24Inilah satu ayat yang perlu diingat. Ulangi di penghujung sesi.Siapa nak beritahu vibe coder tentang...
Rate limiting · Idempotency · Row-level security · Timeout · Webhook · Rahsia · Rollback · Backup · Prompt injection · dan 102 lagi
vibe3 / 24Tunjukkan poster asal jika ada. Ia tersebar pada 2026 sebagai jenaka. Terangkan bahawa hari ini kita akan membincangkan perkara yang menyebabkan kerosakan sebenar dahulu.Buktinya
- Kira-kira 44% tugasan penjanaan kod AI memperkenalkan kerentanan yang diketahui (Veracode, 2026)
- 170+ aplikasi terdedah akibat satu polisi pangkalan data yang tertinggal (CVE-2025-48757)
- 1 ejen AI memadam pangkalan data production yang sedang berjalan semasa code freeze (Julai 2025)
Bahagian 1. Cara berfikir
20 minit
vibe5 / 24Kod AI gagal dengan cara yang boleh dijangka
- Ia menyemak siapa anda, tetapi bukan apa yang anda miliki
- Ia meletakkan rahsia di mana-mana tempat yang mudah
- Ia menulis happy path dan menelan ralat
- Ia menjalankan query di dalam gelung
- Ia mereka pakej yang tidak wujud
- Ia berkata "siap, semua ujian lulus" tanpa menjalankan apa-apa
Lima kanta
- Musuh. Bagaimana jika pengguna itu penyerang?
- Skala. Bagaimana jika 1,000 orang melakukan ini serentak?
- Kegagalan. Bagaimana jika perkhidmatan yang saya panggil lambat atau mati?
- Perubahan. Bagaimana saya menghantar dan mengundurkan ini dengan selamat?
- Keterlihatan. Bagaimana saya akan tahu ia rosak?
Blast radius (radius kesan)
- A. Boleh diundur dan peribadi: hantar dengan bebas
- B. Menyentuh data pengguna: kawalan akses dan backup
- C. Wang atau identiti: idempotency, audit, ujian
- D. Tindakan tidak boleh diundur atau luaran: kelulusan manusia dan kill switch
Bahagian 2. Kenali Ledgerly
Spesifikasi aplikasi sebenar dengan 14 ujian keselamatan. 10 minit
vibe9 / 24Persediaan
cd vibe-starter
npm install
npm run score
Dijangka: 0 / 14 lulus
vibe10 / 24Paparkan papan markah pada skrin kedua. Bantu sesiapa yang tersangkut semasa pemasangan sekarang, bukan kemudian. Pasangkan peserta jika ada mesin yang bermasalah.Peraturan
- Gunakan pembantu AI anda untuk membina setiap ciri
- Baca setiap diff sebelum anda menerimanya
- Jangan sekali-kali mengedit ujian
- Minta AI anda menerangkan ujian yang gagal sebelum ia menulis apa-apa
Bahagian 3. Siapa boleh lihat apa?
Kawalan akses, injection, rahsia. 50 minit
vibe12 / 24Broken access control ialah risiko nombor satu
OWASP Top 10:2025, A01. Aplikasi menyemak bahawa anda sudah log masuk, bukan bahawa invois itu milik anda.
Cuba: minta AI anda membina endpoint invois. Log masuk sebagai Bob dan tukar ID invois. Invois siapa yang anda nampak?
vibe13 / 24Lakukan secara langsung pada projektor. Reaksi peserta itulah pelajarannya. Kemudian biarkan mereka meluluskan ujian 01 dan 02.Rahsia tidak sepatutnya berada dalam pelayar
Apa sahaja dalam bundle frontend adalah awam. Buka dev tools, cari sk_.
Jika kunci bocor, rotate kunci itu. Memadam fail tidak memadam sejarah git.
vibe14 / 24Luluskan ujian 03. Nyatakan bahawa banyak platform hosting mendedahkan sebarang pemboleh ubah dengan awalan awam kepada pelayar.Makmal: luluskan ujian 01 hingga 07
Kawalan akses, SQL injection, rahsia, XSS, rate limiting, password hashing, N+1
Sasaran markah: 7 / 14
vibe15 / 2435 minit. Berjalan di sekitar bilik. Tanya "bagaimana anda tahu ia berfungsi?" di setiap meja. Umumkan orang pertama yang mencapai 7.Rehat
15 minit
vibe16 / 24Bahagian 4. Apabila sesuatu tidak kena
Timeout, webhook, race condition. 40 minit
vibe17 / 24Rangkaian gagal separuh jalan
- Setiap panggilan keluar memerlukan timeout
- Retry memerlukan idempotency, atau pelanggan dicaj dua kali
- Webhook memerlukan semakan tandatangan dan deduplikasi
- Check-then-act memerlukan atomic update
Bahagian 5. Apabila input itulah serangannya
SSRF dan prompt injection. 40 minit
vibe19 / 24Gabungan maut
Ejen AI berbahaya apabila ia mempunyai ketiga-tiganya:
- Akses kepada data peribadi
- Pendedahan kepada kandungan yang tidak dipercayai
- Cara untuk bertindak atau menghantar data keluar
Buang satu kaki untuk setiap tugasan.
vibe20 / 24Tanya peserta apa yang patut dilakukan pembantu AI apabila dokumen mengandungi arahan seperti "pulangkan bayaran invois ini". Kemudian luluskan ujian 12 dengan langkah kelulusan. Sebut OWASP Top 10 for Agentic Applications 2026 dan rangka kerja IMDA Singapura untuk agentic AI.Makmal: luluskan ujian 08 hingga 14
Sasaran markah: 14 / 14
vibe21 / 2430 minit. Sesiapa yang selesai awal berpasangan dengan seseorang yang tersangkut. Begitulah cara pasukan sebenar bekerja.Bahagian 6. Bawa pulang
20 minit
vibe22 / 247 hari anda yang seterusnya
- Jalankan imbasan rahsia pada aplikasi sebenar anda, dan rotate apa-apa yang ditemui
- Hidupkan row-level security dan ujinya dengan akaun kedua
- Letakkan had perbelanjaan pada setiap kunci API berbayar
- Tambah timeout pada setiap panggilan keluar
- Lakukan satu pemulihan backup dan ukur masanya
Kekalkan vibe. Tambah bukti.
vibe.jayren.ai
vibe24 / 24Arahkan mereka ke senarai semak kesediaan dan akaun Vibe percuma mereka untuk menjejak kemajuan. Sebut sesi intensif 2 hari untuk menerapkan semua ini pada aplikasi mereka sendiri. Kumpul satu ayat maklum balas sebelum peserta pulang.