Vyping: risken när AI skriver säkerhetshål snabbare än utvecklare kan fixa dem

AI och vibe-kodning förändrar vem som bygger system – och hur. Men vem granskar koden, skyddar databasen och säkrar GitHub-flödet? Den här artikeln förklarar vad som händer när applikationer växer utanför IT:s kontroll, och hur organisationer återtar säkerheten i det nya landskapet.

Klockan visade 14:32 när jag bad Lovable skapa en enkel lead-hanteringsapp. Tio minuter senare tittade jag på resultatet. Appen fungerade perfekt. Den såg professionell ut. Och Supabase dashboard visade 47 säkerhetsvarningar.

Välkommen till vyping – när utvecklare ”vibear fram” kod med AI istället för att skriva den själva. Det går blixtsnabbt. Men säkerheten? Den glöms bort.

Vad är vyping?

Begreppet har sitt ursprung i ”vibe-kodning” – en stil där man beskriver vad man vill ha i naturligt språk och låter AI generera koden. Det är snabbt, tillgängligt och ofta kraftfullt. Men AI har inga säkerhetsreflexer. Det du får är funktion, inte skydd.

De populäraste verktygen:

• GitHub Copilot: Skriver kod direkt i editorn
• Cursor: ”VS Code med AI-steroider”
• Lovable: Från idé till färdig app på minuter
• v0 by Vercel: AI som både designar och kodar
• ChatGPT/Claude: Kopierar och klistrar kod

Men här kommer problemet. Forskning visar att AI-genererad kod ofta innehåller säkerhetsbrister – vissa studier pekar på att upp till 40% eller mer av koden kan vara osäker.

Exemplet som fick mig att vakna

Låt mig visa exakt vad Lovable genererade för min ”enkla” lead-app:

-- Vad jag bad om: "Skapa en view som visar leads med kontaktinfo"
-- Vad AI:n levererade:
CREATE VIEW public.enriched_lead_contacts 
WITH (security_barrier=false, security_definer=true) AS
SELECT 
    l.*,
    c.email,
    c.phone,
    u.internal_notes,
    u.personal_mobile  -- Vänta, va?
FROM leads l
JOIN contacts c ON l.contact_id = c.id
JOIN internal_users u ON l.assigned_to = u.id;

En AI-genererad vy. Vad den gör? Exponerar interna anteckningar och personliga mobilnummer. För alla med åtkomst. Just p.g.a. security_definer=true och saknad åtkomstkontroll.

GitHub: Där privata nycklar blir publika

Utvecklare testar kod, hårdkodar API-nyckel, glömmer rensa. Sedan committas koden. Nästa steg? Läckta nycklar indexeras av sökmotorer. GitHub har rapporterat tusentals sådana incidenter varje månad.

Typiskt scenario:

1. Utvecklare ber AI: ”Skapa en funktion som ansluter till Stripe”
2. AI genererar kod med placeholder: stripe_key = "sk_test_abc123"
3. Utvecklare testar med riktig nyckel: stripe_key = "sk_live_DinRiktigaNyckel"
4. Glömmer ändra tillbaka innan commit
5. Nyckeln indexeras av sökmotorer inom minuter

Studier visar att utvecklare ofta av misstag committar känslig information till publika repositories.

Samarbetet som inte fungerar

Utvecklare säger: ”Använd aldrig ’GRANT ALL'” Marknadsavdelningen frågar: ”Vad betyder GRANT?” Skillnaden i verktyg och kunskap gör att kod produceras snabbt, men utan delat ansvar för säkerheten. Å andra sidan att låta IT ta ansvar för modern och effektiv kommunikation är ingen bra lösning.

Modern utveckling involverar fler än bara programmerare:

• Marknadsavdelningen bygger landningssidor
• HR vill ha bättre webbsajter för rekrytering och employer branding
• Ledningen vill ha dashboards men samtidigt få det förklarat
• Sales vill att man automatiserar CRM-flöden och ha riktig leads

Problemet? De använder olika verktyg och pratar olika språk.

Utvecklare: ”Aldrig pusha secrets till repo!” Marknadsperson: ”Vad är ett repo?”

Utvecklare: ”Aktivera alltid RLS!” Marknadsperson: ”Vad är RLS?”

De vanligaste vyping-fällorna

1. Hårdkodade hemligheter

javascript

// AI älskar att göra såhär:
const API_KEY = "din-api-nyckel-här"  // TODO: flytta till env

// Utvecklare glömmer TODO:n
const API_KEY = "sk_live_4242424242424242"  // KATASTROF

2. Vidöppna databaser

sql

-- AI:s "hjälpsamma" standardinställning:
GRANT ALL ON TABLE users TO PUBLIC;  -- Alla kan göra allt!

3. Ingen inputvalidering

javascript

// AI:s snabba lösning:
app.post('/search', (req, res) => {
  db.query(`SELECT * FROM products WHERE name = '${req.body.search}'`);
  // SQL injection serverad på silverfat
});

Verktyg för säkrare vyping

För att hitta läckta nycklar:

• GitGuardian: Skannar repos i realtid
• TruffleHog: Open source secret scanner
• GitHub Secret Scanning: Gratis för publika repos

För kodgranskning:

• Semgrep: Hittar säkerhetsmönster
• SonarQube: Omfattande kodanalys
• Snyk: Specialiserad på säkerhet

För säker nyckelhantering:

• HashiCorp Vault: Enterprise-lösning
• AWS Secrets Manager: För AWS-miljöer
• 1Password Developer: Delad nyckelhantering för team

Hur olika avdelningar kan samarbeta säkert

1. Skapa gemensamt språk

Skippa jargongen. Förklara i termer alla förstår:

• ”API-nyckel = lösenordet till företagets data”
• ”Publikt repo = som att lägga dokument på gatan”
• ”RLS = lås på varje rad i databasen”

2. Etablera enkla rutiner

yaml

För ALLA som bygger NÅGOT:
1. Kör säkerhetsskanning före publicering
2. Använd företagets nyckelhanterare (aldrig hårdkoda)
3. Granska AI-genererad kod med verktyg
4. Fråga IT om du är osäker

3. Automatisera säkerheten

• Pre-commit hooks som stoppar secrets
• Automatisk skanning av all ny kod
• Alerts när något ser konstigt ut

Paradigmskiftet ingen var beredd på

AI-assisterad utveckling förändrar landskapet dramatiskt – från en värld där ett begränsat antal utvecklare skrev kod till en där många fler kan generera kod med AI-verktyg.

Detta förändrar allt:

• Hastighet: Kod produceras 100x snabbare
• Volym: Miljontals rader kod per dag
• Kompetens: De som genererar förstår inte vad de genererar
• Säkerhet: Traditionella granskningsprocesser hinner inte med

Framtiden: AI som både problem och lösning

Ironiskt nog kan AI också vara lösningen. Nya verktyg dyker upp:

• GitHub Copilot X: Lovar säkerhetsanalys i realtid
• Amazon CodeWhisperer: Skannar efter sårbarheter medan du kodar
• Snyk DeepCode: AI som granskar AI-genererad kod

Men tills dess? Vi surfar på en tsunami av osäker kod.

---

Källor och vidare läsning

Forskningsrapporter och studier:

• Studier om säkerhet i AI-genererad kod
• GitHub dokumentation om secret scanning
• OWASP om AI och säkerhet

Branschanalyser:

• Artiklar om AI-assisterad utveckling och säkerhet
• Rapporter om ”Shadow AI” utveckling i företag

Praktiska guider:

• ”Secure Coding with AI Assistants” – SANS Institute
• ”Managing Secrets in the Age of AI” – HashiCorp
• ”Enterprise AI Code Security” – Gartner Research
• TruffleHog: scanning av hemligheter i kod
• GitHub Advanced Security (GHAS): guide till enterprise-säkerhet
• OWASP Top 10 for LLM: särskilt relevant om vibe-kodning hanterar prompt injection eller auth-bypass
• Karpathy X-poster om vibe coding: om du vill länka direkt till originalkommentar