Pelanggaran Moltbook: Ketika Vibe Coding Menjadi Mimpi Buruk Keamanan

Apa yang Sebenarnya Terjadi di Moltbook?

Mari saya uraikan persis apa yang salah, karena detailnya penting.

Moltbook dibangun menggunakan Supabase—alternatif Firebase open-source populer yang menyediakan database PostgreSQL yang dihosting. Supabase telah menjadi backend pilihan untuk aplikasi yang dikodekan dengan vibe karena menangani otentikasi, database, dan penyimpanan dengan konfigurasi minimal.

Masalahnya? Seseorang (atau beberapa AI) menempatkan kunci API Supabase langsung di kode JavaScript sisi klien. Ini adalah kesalahan keamanan fundamental. Kunci API milik server, jangan pernah di kode yang berjalan di browser pengguna.

Tapi makin buruk.

3. Stardew Valley — Game Premium Seluler Terbaik

Peneliti keamanan di Wiz menemukan kunci yang terbuka dalam hitungan menit setelah melihat situs web. Mereka bisa:

• Mengunduh semua 1,5 juta kunci API (termasuk kunci untuk OpenAI, Anthropic, dan penyedia AI lainnya)
• Mengakses pesan pribadi antara agen AI
• Dimodifikasi atau dihapus data apa pun di database
• Mengambil alih akun pengguna mana pun
• Jalankan tagihan besar menggunakan kunci API yang dicuri

Kuncinya? Pendiri mengakui bahwa dia "sepenuhnya vibe-coded" seluruh platform. Tidak ada review kode. Tidak ada audit keamanan. Hanya prompt ke AI dan menyalin-tempel hasilnya.

Mengapa Ini Terus Terjadi

Inilah yang membuat cerita ini menjengkelkan: ini bukan satu-satunya.

Ingat ketika DeepSeek mengekspos kunci API mereka? Atau Base44? Pola ini berulang karena filosofi vibe coding secara aktif menghambat praktik yang mencegah pelanggaran ini.

Filosofi inti dari vibe coding adalah: bergerak cepat, fokus pada hasil, jangan khawatir tentang detail. Ini memikat karena — jujur — ini berhasil untuk membangun prototipe. Anda bisa menjalankan aplikasi yang berfungsi dalam hitungan jam.

Tetapi aplikasi produksi hidup di dunia yang berbeda. Mereka menangani data pengguna nyata, pembayaran nyata, ancaman keamanan nyata. Pola pikir yang sama yang membantu Anda menyiapkan prototipe dalam seminggu akan membuat aplikasi produksi Anda diretas pada hari pertama.

Saya berbicara dengan seorang peneliti keamanan yang mengkhususkan diri dalam kode yang dihasilkan AI. Inilah yang menjaganya agar tidak tidur:

• Tidak memahami apa yang terjadi: Ketika Anda meminta AI untuk "membangun sistem login," Anda mendapatkan kode yang terlihat seperti sistem login tapi mungkin memiliki kekurangan halus yang hanya bisa dilihat oleh ahli
• Mempercayai AI: Pengguna menganggap kode yang dihasilkan AI aman karena... itu dari AI? Asumsi itu sama sekali salah
• Dasar yang hilang: Vibe coders sering tidak tahu apa yang mereka tidak tahu tentang keamanan

Masalah 45%

Biarkan saya memberi Anda angka yang seharusnya membuat Anda tidak tidur: 45%.

Itu adalah persentase kode yang dihasilkan AI yang mengandung kerentanan keamanan, menurut penelitian Veracode tentang keamanan perangkat lunak yang dihasilkan AI^[1].

Ini bukan tentang model AI yang buruk atau pengembang yang tidak kompeten. Ini tentang sifat fundamental dari pembangkitan kode. Model AI dilatih pada kode yang ada — yang mencakup kode yang tidak aman. Mereka mereproduksi pola yang telah mereka lihat, termasuk yang rentan.

Kerentanan umum dalam kode yang dihasilkan AI:

Bocoran Moltbook sebenarnya adalah dua masalah: kunci API yang dikodekan keras (rahasia yang dikodekan keras) DAN RLS yang hilang (konfigurasi tidak aman). Salah satu saja sudah buruk. Bersama-sama, mereka menciptakan bencana.

Apa yang Tidak Diceritakan Siapa Pun Tentang Vibe Coding

Bersikap jujur dengan Anda. Saya telah melakukan vibe coding banyak proyek. Ini benar-benar mengubah cara saya membangun hal-hal. Tapi saya juga mempelajari beberapa pelajaran keras dengan cara yang sulit.

Anda Masih Perlu Memahami Keamanan

Ini adalah kebenaran yang tidak nyaman: Anda tidak dapat menggunakan alat AI untuk membangun aplikasi yang aman jika Anda sendiri tidak memahami keamanan. AI tidak mengenal model ancaman Anda. AI tidak tahu aset apa yang Anda lindungi. AI hanya menghasilkan kode yang terlihat masuk akal.

Anda tidak perlu menjadi ahli keamanan. Tapi Anda perlu memahami:

• Jangan pernah menyimpan rahasia di kode sisi klien
• Selalu aktifkan Keamanan Baris pada database
• Gunakan variabel lingkungan untuk konfigurasi sensitif
• Terapkan validasi input yang tepat
• Jalankan pemindaian keamanan pada kode yang dihasilkan

Buat Prototipe Cepat, Lalu Rekayasa

Alur kerja saya saat ini:

• Vibe code prototipe — Dapatkan sesuatu yang berfungsi, validasi ide dengan pengguna nyata
• Identifikasi kesesuaian produk-pasar — Sebelum berinvestasi dalam apa pun
• Refactor untuk produksi — Ini adalah tempat Anda benar-benar mengamankan kode, performa, dan kemudahan pemeliharaan

Kesalahannya adalah mengirimkan prototipe bergaya-vibe langsung ke produksi tanpa langkah refactor. Anda tidak menghemat waktu — Anda menumpuk utang teknis yang akan menghabiskan biaya nanti.

Gunakan Alat yang Tepat untuk Pekerjaan

Ini mungkin kontroversial, tapi saya tidak pikir vibe coding cocok untuk:

• Aplikasi menangani data pengguna sensitif (kesehatan, keuangan)
• Sistem yang memproses pembayaran
• Apapun dengan persyaratan kepatuhan regulasi
• Aplikasi di mana kegagalan keamanan dapat menyebabkan kerusakan nyata

Untuk alat internal, MVP, dan prototipe? Silakan saja. Untuk sistem produksi yang menangani data pengguna nyata? Rancang dengan benar.

Cara Melindungi Diri Anda

Jika Anda vibe coding saja (dan jujur, Anda harus — ini sangat kuat), berikut cara menghindari menjadi berita utama berikutnya:

Untuk Supabase/Backend Anda

javascript
// WRONG - Never do this
const supabase = createClient('https://xxx.supabase.co', 'YOUR_ANON_KEY_HERE')
// Your service_role key is also exposed here!

// CORRECT - Use environment variables, server-side only
const supabase = createClient(
  process.env.SUPABASE_URL,
  process.env.SUPABASE_ANON_KEY
)

Daftar Periksa Keamanan Esensial

• [ ] Aktifkan Keamanan Level Baris pada SEMUA tabel database
• [ ] Simpan kunci API di variabel lingkungan, jangan di kode
• [ ] Jalankan pemindaian keamanan pada semua kode yang dihasilkan (Snyk, CodeQL, atau GitHub Advanced Security)
• [ ] Jangan pernah mengekspos kunci service_role ke klien
• [ ] Implementasikan validasi input yang tepat pada semua input pengguna
• [ ] Atur pembatasan laju untuk mencegah penyalahgunaan
• [ ] Lakukan pengujian penetrasi sebelum meluncurkan apa pun dengan pengguna nyata

Alat yang Membantu

Apa Artinya Ini untuk Industri

Saya jujur khawatir ke mana kita sedang melangkah.

Kita sedang di tengah pergeseran besar dalam cara perangkat lunak dibangun. Pendiri non-teknis sekarang bisa membuat aplikasi canggih. Hambatan masuk telah runtuh. Itu benar-benar menggembirakan.

Tapi kami juga menciptakan generasi aplikasi tanpa yang menonton toko.

Inilah yang saya pikir perlu terjadi:

• Alat coding AI butuh default keamanan yang lebih baik — Berhenti menghasilkan kode dengan kerentanan yang ditanamkan
• Komunitas perlu membicarakan ini lebih banyak — Setiap posting blog tentang vibe coding harus menyebutkan keamanan
• Kami membutuhkan alat yang lebih baik — Pemindaian keamanan otomatis harus dibangun ke setiap alur kerja coding AI
• Pendiri perlu bertanggung jawab — Anda tidak bisa menyalahkan AI ketika sesuatu salah

Masa depan pengembangan perangkat lunak bukan tentang memilih antara kecepatan AI dan keamanan. Ini tentang belajar menggunakan keduanya bersama-sama.

Temukan aplikasi kebugaran terbaik di 2026 untuk iPhone dan Android. Bandingkan aplikasi latihan, pelacak olahraga, dan program pelatihan termasuk MyFitnessPal, Strava, Nike Training Club, dan lainnya.

Kesimpulan

Moltbook bukanlah anomali. Ini adalah gambaran dari apa yang akan datang.

Seiring semakin banyak pendiri mengirimkan aplikasi yang dikodekan dengan vibe tanpa memahami dasar keamanan, kita akan melihat lebih banyak pelanggaran. Lebih banyak kunci API yang bocor. Lebih banyak basis data yang terbuka. Lebih banyak korban.

Ini bukan argumen melawan vibe coding. Ini adalah argumen untuk jujur tentang keterbatasannya.

Kirim dengan cepat. Uji ide. Bergerak cepat. Tetapi sebelum menempatkan data pengguna nyata Anda berisiko, pelanankan dan lakukan pekerjaan keamanan. Pengguna Anda mempercayakan informasi mereka kepada Anda. Kepercayaan itu tidak boleh di-vibe-code away.

Posting Terkait

• Apa Itu Vibe Coding? Panduan Lengkap 2026
• Cursor vs Windsurf untuk Vibe Coding: Mana yang Menang di 2026?
• Cara Membangun Aplikasi AI dalam 7 Hari (Langkah demi Langkah
• Cara Mendapatkan 100 Pengguna Beta dengan Cepat

Siap meluncurkan aplikasi Anda dengan aman? Daftarkan aplikasi Anda di GetFree—direktori kurasi di mana pengembang berbagi kode promo dan akses beta dengan ribuan tester yang ditargetkan.

Sumber

Awalnya dipublikasikan di Blog GetFree.APP — Terakhir diperbarui: 17 Februari 2026