உடனே app உருவாக்கும் ஈர்ப்பு அடிப்படை security-யுடன் மோதுகிறது
AI-assisted app builders, கிட்டத்தட்ட எவருக்கும் சில நிமிடங்களில் web application-ஐ உருவாக்கி deploy செய்ய முடியும் என்ற வாய்ப்பை வழங்கியுள்ளது. அந்த வேகமே அவற்றின் ஈர்ப்பின் ஒரு பகுதி. அதே வேகம், அதிகரித்து வரும் வகையில், பிரச்சினையின் ஒரு பகுதியாகவும் உள்ளது.
Wired வெளியிட்ட, cybersecurity firm RedAccess நடத்திய ஆய்வை அடிப்படையாகக் கொண்ட செய்தியின் படி, Lovable, Replit, Base44, மற்றும் Netlify போன்ற tools-ஐப் பயன்படுத்தி உருவாக்கப்பட்ட public-facing apps ஆயிரக்கணக்கானவை மிகக் குறைந்த அல்லது செயல்திறனற்ற security-யுடன் இருந்தன. 5,000-க்கும் அதிகமான சம்பவங்களில், URL-ஐ அறிந்தோ ஊகித்தோ எவரும் அணுகக்கூடியதாக applications இருந்ததாக கூறப்படுகிறது. RedAccess cofounder Dor Zvi கூறியதன்படி, ஆய்வு செய்யப்பட்ட apps-இல் சுமார் 40% sensitive information-ஐ வெளிப்படுத்தின.
அறிக்கையில் குறிப்பிடப்பட்ட exposed material சாதாரணமானது அல்ல. medical information, financial data, corporate presentations, strategy documents, மற்றும் customer chatbot logs இதில் இருந்ததாக Zvi கூறினார். screenshots-இல் காட்டப்பட்ட exposed applications பல இன்னும் online-இலும் accessible-ஆகவும் இருந்ததை Wired உறுதிப்படுத்தியதாகவும் கூறியது.
இது bugs பற்றியதுதான் அல்ல
இந்த அறிக்கையில் மிக முக்கியமான அம்சம், இவ்வாறு ஏற்பட்ட பல failures நுண்ணிய coding flaws அல்ல என்பதுதான். அவை missing அல்லது இல்லாத அளவுக்கு அரிதான access control சம்பவங்களாக இருந்தன. சில apps, browser வைத்திருக்கும் யாருக்கும் data-ஐ அணுக அனுமதித்ததாகக் கூறப்படுகிறது. மற்றவை, report கூறுவதன்படி, visitor எந்த email address-ஐயும் பயன்படுத்தி sign in செய்ய அனுமதித்தல் போன்ற பலவீனமான தடைகளையே நம்பியிருந்தன.
இந்த வேறுபாடு முக்கியமானது, ஏனெனில் அது threat model-ஐ மாற்றுகிறது. Security teams software-இல் exploitable defects-ஐ தேடுவதற்கு பழகியிருக்கின்றன. RedAccess விவரிப்பது அதைவிட அடிப்படையானது: applications யார் உள்ளே இருக்க வேண்டும் என்பதற்கான அர்த்தமுள்ள கருத்து இல்லாமலேயே live ஆகின்றன.
அந்த வகையில், “vibe-coded” apps ஏற்படுத்தும் ஆபத்து AI புதிய bugs-ஐ உருவாக்கும் என்பதற்காக மட்டும் அல்ல. அதே tooling software வெளியிடும் friction-ஐ இவ்வளவு குறைப்பதால்தான் சில creators foundational security decisions-ஐ முற்றிலும் தவிர்க்கிறார்கள்.
இந்த apps எப்படிக் கண்டுபிடிக்கப்பட்டன
தேடல் செயல்முறை ஆச்சரியப்படும் அளவுக்கு எளிமையானது என்று RedAccess கூறியது. அறிக்கையில் குறிப்பிடப்பட்ட platforms, users தங்கள் கட்டுப்பாட்டிலுள்ள domains-க்கு பதிலாக நிறுவனங்களின் சொந்த domains-ல் apps host செய்ய அனுமதிக்கின்றன. பின்னர் ஆராய்ச்சியாளர்கள் அந்த domains-ஐ இலக்காக்கும் சாதாரண Google மற்றும் Bing searches, மேலும் சில search terms-ஐப் பயன்படுத்தி பல AI-built apps-ஐ அடையாளம் கண்டனர்.
இந்த விவரம் platform providers-க்கும், உள்ளமைப்பில் இந்த tools-ஐப் பயன்படுத்தும் நிறுவனங்களுக்கும் கவலையளிக்க வேண்டும். exposed apps இணையத்தின் மறைந்த மூலையில் கிடந்தவை அல்ல என்பதைக் காட்டுகிறது. அவை சாதாரண search methods மூலம் கண்டுபிடிக்கக்கூடியவை. கண்டுபிடிக்கக் கூடியதாக இருந்ததும், authentication இல்லாமை அல்லது பலவீனம் data exposure-க்கு நேரடி பாதையாக மாறுகிறது.
இது பெரிய organizational பிரச்சினையாக ஏன் இருக்கலாம்
இந்த leak pattern-ஐ Zvi மிகவும் கடுமையான சொற்களில் விவரித்தார்; vibe-coding applications மூலம் organizations private data-ஐ வெளிப்படுத்தி வருவதாகவும், இது உலகில் sensitive information யாருக்கும் திறக்கப்பட்ட மிகப்பெரிய events-இல் ஒன்றாகவும் கூறினார். security disclosures-க்கு அடிக்கடி கூடும் rhetoric-ஐ ஒதுக்கினாலும், அடிப்படையான pattern முக்கியமானது.
நிறுவனங்களுக்குள் AI development tools பரவுவதால் software creation இனி பாரம்பரிய engineering teams-க்கு மட்டும் கட்டுப்பட்டதல்ல. Product managers, analysts, marketers, மற்றும் operations staff இப்போது ஒரு prompt மற்றும் deploy button மூலம் internal tools அல்லது customer-facing prototypes-ஐ உருவாக்க முடிகிறது. அது software-ஐ யார் எழுதுகிறார்கள் என்பதை மாற்றுகிறது; ஆனால் software என்ன வெளிப்படுத்த முடியும் என்பதைக் மாற்றவில்லை.
ஒரு employee AI-built app-ஐ internal data-க்கு இணைத்து default settings-உடன் publish செய்தால், எந்த malicious attacker-ும் perimeter-ஐ breach செய்யாமலேயே முழுமையான leak ஏற்படலாம். application தானே breach ஆகிறது.
பிரச்சினையின் பின்னுள்ள கலாச்சார மாற்றம்
இந்தக் கதையின் ஒரு பகுதி technical; மற்றொரு பகுதி cultural. AI coding platforms உடனடித்தன்மை (immediacy) மீது விற்கப்படுகின்றன. presentations அல்லது documents உருவாக்கப்படுவது போல software-ஐயும் விரைவாக, iterative-ஆக, மற்றும் அதிக specialized training இல்லாமல் உருவாக்கலாம் என அவை வாக்குறுதி அளிக்கின்றன. அந்த வாக்குறுதி சக்திவாய்ந்தது, குறிப்பாக வேகமான experimentation-ஐ விரும்பும் நிறுவனங்களில்.
ஆனால் software என்பது creative artifact மட்டும் அல்ல. அது ஒரு access surface-வும் கூட. apps உருவாக்குவது எளிதாகிற அளவுக்கு, insecure apps-ஐ அளவோடு உருவாக்குவதும் எளிதாகிறது. அந்த வகையில், Wired report ஒரு தனிப்பட்ட vendor issue போல அல்ல; shadow IT-இன் புதிய வகைக்கு முன் எச்சரிக்கை போல வாசிக்கப்படுகிறது.
hosting, deployment, மற்றும் discoverability அனைத்தும் ஒரே workflow-இல் built-in ஆக இருக்கும்போது பிரச்சினை மேலும் தீவிரமாகிறது. ஒரு user app-ஐ உருவாக்கி, data connect செய்து, சில நிமிடங்களில் அதை major platform domain-ல் publish செய்ய முடிந்தால், governance மேல்நிலைக்கு நகர வேண்டும். deployment பிறகு செய்யும் security review மிகவும் தாமதமாக இருக்கலாம்.
அடுத்தது என்ன நடக்க வேண்டும்
அறிக்கை பெயரிடப்பட்ட அனைத்து platforms-இலிருந்தும் formal responses-ஐ தரவில்லை; எனவே மிக பாதுகாக்கப்பட்ட takeaway எந்த ஒரு நிறுவனத்தையும்விட விரிவானதாக இருக்க வேண்டும். AI app-building ecosystems-க்கு authentication மற்றும் data exposure குறித்த வலுவான defaults தேவை. Users-க்கு public ஆகும் விஷயங்கள் குறித்து தெளிவான warnings தேவை. மேலும் organizations prompt-based app builders-ஐ harmless productivity tools போல அல்ல, உண்மையான software development environments போல கையாள வேண்டும்.
முதன்மையான பாடம் நேரடியானது. app creation instantaneous ஆகும்போது, security optional அல்லது assumed ஆக இருக்க முடியாது. AI software tooling-இல் உண்மையான breakthrough code-ஐ எவ்வளவு வேகமாக publish செய்கிறது என்பதாலேயே அளவிடப்படாது. அது inexperienced builders-ஐ அவர்களது data-ஐ அதனுடன் publish செய்வதைத் தடுக்க முடியுமா என்பதாலேயே அளவிடப்படும்.
இந்தக் கட்டுரை Wired-இன் செய்தியை அடிப்படையாகக் கொண்டது. மூலக் கட்டுரையைப் படிக்கவும்.
Originally published on wired.com
