Piattaforma BSW

AI: “Vibe Coding” con AI – Un rischio serio per la sicurezza informatica

Articolo di Knees, Lina

18 ore

5 minuti di lettura

Spie che lavorano insieme in un nascondiglio segreto, rubando dati preziosi hackerando siti web governativi con scarsa sicurezza. Esperti di spionaggio che ottengono illegalmente l'accesso a informazioni preziose, modello rilasciato, , proprietà rilasciata, , 58817852.jpg, spie, segreto, nascondiglio, dati, furto, hacking, governativo, siti web, sicurezza, spionaggio, esperti, tecnologia, accesso, informazioni, illegalmente, hacker, internet, computer, virus, attacco, cyber, rete, web, software, password, online, crimine, privacy, malware, digitale, firewall, sicurezza informatica, hack, phishing, codice, uomo, criminale, binario, monitor, programmatore, illegale, exploit, crittografia, darknet, pc, crimine informatico, dannoso, programmazione, truffa DATA DI REGISTRAZIONE NON INDICATA data-portal-copyright=

L'intelligenza artificiale può trasformare chiunque in uno sviluppatore di app. Questo riduce le barriere d'ingresso per i profani. Tuttavia, i software generati dall'intelligenza artificiale a volte presentano pericolose vulnerabilità di sicurezza.

L'intelligenza artificiale (IA) è da tempo diventata l'assistente di molti sviluppatori di software. Strumenti di programmazione basati sull'IA come Github Copilot scrivono righe di codice in pochi secondi, correggono errori o aggiungono codice prima ancora che lo sviluppatore possa pensare alla riga successiva.

"Le prime volte che l'ho usato, mi è sembrato un'estensione del cervello!", racconta Carsten Kisslat. Sviluppa videogiochi da 30 anni. Afferma di non essere un programmatore, ma occasionalmente scrive piccole applicazioni nel linguaggio di programmazione Python. L'intelligenza artificiale lo aiuta in questo.

Kisslat hat einiges Grundwissen im Programmieren, doch inzwischen können auch komplette Laien Software bauen. Sie müssen der KI dafür einfach nur ihre Idee beschreiben. Der Fachbegriff dafür ist „Vibe Coding“.

Ma quando l'intelligenza artificiale non si limita ad assistere, ma scrive anche interi programmi, ciò comporta diversi rischi, avvertono gli esperti di sicurezza informatica. Programmi difettosi possono esporre i dati dei loro utenti, rendendoli particolarmente facili da intercettare per gli hacker. Handelsblatt ha parlato con sviluppatori, "vibe coder" ed esperti di sicurezza informatica delle opportunità e delle sfide di questa tendenza.

Limango.deSolo oggi: Birkenstock scontate fino al 45%*

I programmatori di intelligenza artificiale impiegano solo un decimo del tempo

"Prima, quando programmavo, dovevo passare sette ore a fare ricerche prima di riuscire a far funzionare il programma", ricorda Kisslat. Imparare a programmare da zero è noioso. Il codice è spietato: un errore di battitura può bloccare il programma, una struttura scadente può rallentarlo o addirittura causarne il crash.

Grazie all'assistente AI ChatGPT, Kisslat afferma di essere ora significativamente più produttivo: "Ora mi basta solo un decimo del tempo". Questo gli consente di creare bozze iniziali di videogiochi per testarli o presentarli ai clienti come concept.

Sebastian Deutsch è il fondatore della startup software 9elements. Considera l'intelligenza artificiale un valido aiuto per la programmazione: "Lo ripeto da tempo ai nostri sviluppatori junior: prima di chiedere a me, chiedete a ChatGPT."

Confronto tra sistemi solari: costi solari accumulo

Annuncio

Mehr Info

La programmazione con l'intelligenza artificiale ha già preso piede tra molti sviluppatori. Ma il "Vibe Coding" va oltre. Andrej Kaparthy, co-fondatore dello sviluppatore di intelligenza artificiale OpenAI, ha coniato il termine in un post sulla piattaforma social X. Con questo nuovo modo di programmare, ci si dovrebbe abbandonare alle "vibrazioni", o in altre parole, alle sensazioni. Kaparthy parla semplicemente con l'intelligenza artificiale e "dimentica che il codice esista", scrive. "Il nuovo linguaggio di programmazione più in voga è l'inglese".

Peter Krück ist Vibe-Coder. Eigentlich hat er BWL studiert, nun entwickelt er Apps mit einem KI-Chatbot. Meist nutzt er „Claude“ des KI-Entwicklers Anthropic, beschreibt der KI seine Idee und lässt sich den gesamten Software-Aufbau generieren. Krück hat so schon eine eigene Jobplattform gebaut, eine Webseite für seinen Tischtennisverein und einen Gruppenchat mit integrierten KI-Funktionen.

Questo tipo di sviluppo software è chiamato "no-code". Il programmatore di Vibe spiega cosa vuole realizzare e l'intelligenza artificiale si occupa del resto. Scrivere codice autonomamente non è più necessario per un'app funzionante.

» Leggi anche: Una startup poco conosciuta spinge la mega-piattaforma Github ai suoi limiti

Esistono ormai piattaforme specializzate per questo scopo. Tra le più note ci sono Lovable e Cursor, che funzionano anche tramite input di testo. "Dall'idea all'app in pochi secondi", pubblicizza Lovable. Gli utenti condividono i loro progetti sulla piattaforma: ad esempio, un tracker finanziario basato sull'intelligenza artificiale, un generatore di minigiochi a partire da schizzi o una lista di cose da fare intelligente con un timer per la concentrazione. "L'intelligenza artificiale ha reso la programmazione molto più accessibile", afferma Deutsch, fondatore di 9elements.

E il Vibe Coding è da tempo più di un semplice hobby per molti. Secondo il fondatore di Lovable, Anton Osika, gli investitori dichiarano di investire in applicazioni create tramite la sua piattaforma.

Langsam und voller Sicherheitslücken

Tuttavia, anche gli utenti di piattaforme no-code incontrano delle limitazioni. Ad esempio, quando Peter Krück ha voluto realizzare il sito web del suo club di tennistavolo con Lovable. "Il risultato è davvero ottimo", afferma. Ma più funzionalità voleva integrare, più insoddisfatto diventava: "Per quanto riguarda la funzione di login e l'area membri, in qualche modo non funziona ancora". Kisslat afferma inoltre che più un'applicazione è complessa, prima l'intelligenza artificiale raggiunge i suoi limiti.

Thomas Jansen ha un dottorato in informatica e lavora nello sviluppo software da 35 anni. La sua azienda, Crissy Field, testa i software per individuare vulnerabilità di sicurezza. "Penso che l'hype prometta più di quanto l'intelligenza artificiale possa attualmente offrire", afferma.

Ha analizzato il codice generato dall'intelligenza artificiale: "Il codice funziona, ma non supera alcun test di qualità". Spesso è poco strutturato e difficile da comprendere. Questo influisce sulle prestazioni: un codice scritto male può causare crash e sovraccaricare i server, avverte Jansen.

E ancora peggio: alcuni progetti no-code presentano gravi vulnerabilità di sicurezza che consentono l'accesso involontario ai dati degli utenti. "Un buon codice non si limita a concatenare funzioni", afferma Jansen.

Ein Problem für die Cybersecurity

Tali vulnerabilità nel codice possono essere pericolose. Nelle conversazioni con sviluppatori e programmatori di Vibe, viene spesso citato l'esempio di un utente X di nome Leo. Nei suoi post, inizia descrivendo con entusiasmo la sua nuova app, che ha sviluppato utilizzando una piattaforma no-code.

Ma l'euforia è svanita rapidamente. "Gente, sono sotto attacco", scrive. "Stanno succedendo cose strane: le mie chiavi API stanno raggiungendo il limite massimo, la gente sta aggirando l'abbonamento, creando assurdità nel database".

Una chiave API è un'interfaccia di programmazione che consente di accedere ad altre applicazioni. Una volta ottenuto l'accesso a queste chiavi, gli hacker possono abusare del servizio inviando richieste eccessive, generando così costi elevati per il gestore dell'app.

Bereits im Mai 2023 untersuchte Mario Fritz vom CISPA Helmholtz-Zentrum für Informationssicherheit gemeinsam mit Forschern der Universität des Saarlandes mögliche Sicherheitslücken in KI-generiertem Code. Ein zentrales Problem sehen die Autoren in den Codebeispielen, mit denen die KI trainiert wurde. „Die Trainingsdaten für diese Modelle werden in der Regel aus dem Internet gesammelt (...) und enthalten wahrscheinlich Fehler und Sicherheitslücken“, heißt es in der Studie.

I ricercatori hanno individuato vulnerabilità tipiche, molte delle quali rimangono ancora oggi irrisolte. Gli sviluppatori continuano a richiamare l'attenzione online sui tipici problemi del codice di intelligenza artificiale. "Inoltre, potrebbe esserci la possibilità che un aggressore possa manipolare la generazione del codice", avverte Fritz.

Infine, i fornitori ostili di piattaforme di programmazione AI potrebbero incorporare deliberatamente vulnerabilità nel codice generato, ad esempio per accedere ai dati o iniettare malware tramite le applicazioni sviluppate. I programmatori di Vibe e gli sviluppatori inesperti avrebbero difficoltà a rilevarlo. "Ci sono enormi rischi dal punto di vista della sicurezza informatica", afferma lo sviluppatore Sebastian Deutsch.

Solo per uso limitato

Nonostante tutti i rischi, lui e Thomas Jansen vedono la programmazione basata sull'intelligenza artificiale come un'opportunità per "democratizzare la programmazione". Chiunque utilizzi gli strumenti e voglia pubblicare la propria app, tuttavia, deve esaminare attentamente ciò che l'intelligenza artificiale produce. "Non si può fare a meno di comprendere meticolosamente cosa sta facendo l'intelligenza artificiale", avverte Deutsch. Se l'applicazione scritta deve essere accessibile al pubblico, i suoi creatori devono rispettare gli standard di sicurezza.

Ci sono anche ragioni legali per questo: se un'app subisce perdite di dati, la persona che l'ha sviluppata e pubblicata è particolarmente responsabile, spiega l'esperto di diritto informatico David Bomhard. Questo vale anche per i programmatori di Vibe. "L'intelligenza artificiale ha lo scopo di fornire suggerimenti e ispirazione, ma al momento non sostituisce il controllo qualità professionale", afferma Bomhard. Dopotutto, lo sviluppo del software include anche la verifica del codice per quanto riguarda i requisiti legali e gli standard di sicurezza.

Anche Carsten Kisslat e Peter Krück consigliano cautela. Vibe Coding è adatto solo per bozze iniziali e progetti privati. Questo permette di testare prima i limiti dell'intelligenza artificiale.