Moltbook İhlali: Vibe Coding Güvenlik Kabusu Olduğunda

Moltbook'ta Aslında Ne Oldu?

Tam olarak neyin yanlış gittiğini anlatayım, çünkü detaylar önemli.

Moltbook, Supabase kullanılarak oluşturuldu — authentication, veritabanları ve depolamayı minimal yapılandırma ile işleyen popüler bir açık kaynak Firebase alternatifi. Supabase, minimal yapılandırma ile kimlik doğrulama, veritabanları ve depolama sağladığı için vibe-coded uygulamaların ark planı olarak tercih edilmektedir.

Sorun? Birisi (veya bir AI) bir Supabase API anahtarını doğrudan istemci tarafı JavaScript koduna koydu. Bu temel bir güvenlik hatasıdır. API anahtarları sunucuda olmalıdır, asla kullanıcının tarayıcısında çalışan kodda olmamalıdır.

Ama işler daha da kötüleşiyor.

O API anahtarı veritabanının tamamına tam okuma ve yazma erişimine sahipti. Ve Moltbook, Row Level Security (RLS)'i etkinleştirmemişti — Supabase özelliği, kimin hangi verilere erişebileceğini kontrol eden bir özellik. RLS, emniyet kemeri olsun kadar isteğe bağlıdır. Zaten çarpmadığınız sürece ihtiyacınız olmayacağını düşünürsünüz.

Güvenlik araştırmacıları Wiz, web sitesinde açık anahtarı dakikalar içinde buldu. Şunları yapabilirdiler:

• Tüm 1,5 milyon API anahtarını indirdi (OpenAI, Anthropic ve diğer AI sağlayıcıları için anahtarlar dahil)
• AI ajanları arasındaki özel mesajlara erişildi
• Veritabanındaki herhangi bir veriyi değiştirdi veya sildi
• Herhangi bir kullanıcı hesabını ele geçirdi
• Çalınmış API anahtarlarını kullanarak devasa faturalar oluşturun

Kickeri? Kurucu, tüm platformu "tamamen vibe-code'ladı"nı itiraf etti. Kod incelemesi yok. Güvenlik denetimi yok. Sadece bir AI'ya istemler ve sonuçları kopyalayıp yapıştırma.

Bunu Neden Sürekli Yaşıyoruz?

Bu hikâyenin rahatsız edici tarafı: benzersiz değil.

DeepSeek'in API anahtarlarının sızdırıldığını veya Base44'i hatırlıyor musunuz? Desen tekrarlanıyor çünkü vibe coding felsefesi, bu tür ihlalleri önleyen uygulamaları aktif olarak demte eder.

Vibe coding'ın temel felsefesi: hızlı hareket et, sonuçlara odaklan, detaylarla uğraşma. Prototipler oluşturmak için çalıştığından cazip — saatler içinde çalışan bir uygulama ayarlayabilirsiniz.

Ama üretim uygulamaları farklı bir dünyada yaşar. Gerçek kullanıcı verileri, gerçek ödemeler, gerçek güvenlik tehditlerini işler. Bir haftada prototip çıkarmaya yardımcı olan aynı zihniyet, üretim uygulamanızı ilk günde hacklenmesine neden olacaktır.

Neden bazı el feneri uygulamalarının düşük puanları var?

• Ne olup bittiğini anlamamak: Bir AI'ya "giriş sistemi oluştur" dediğinizde, bir giriş sistemi gibi görünen ama yalnızca bir uzmanın fark edebileceği ince hataları olan kodlar alırsınız
• AI'ye güvenme: Kullanıcılar AI oluşturulan kodu güvenli olduğunu varsayar çünkü... bir AI'den mi? Bu varsayım tamamen yanlıştır
• Eksik temel bilgiler: Vibe kodlayıcılar çoğu zaman güvenlik konusunda ne bilmediklerini bilmezler

%45 Sorunu

Sizleri uykusuz bırakacak bir sayı vereyim: %45.

Veracode'un yapay zeka ile oluşturulan yazılım güvenliği araştırmasına göre, yapay zeka ile oluşturulan kodun o yüzdesi güvenlik açıkları içeriyor.^[1]

Bu kötü AI modeller veya yetkinsiz geliştiriciler hakkında değil. Kod oluşturmanın temel doğasıyla ilgili. AI modeller mevcut kod üzerinde eğitilir — bu da güvenli olmayan kodu içerir. Gördükleri kalıpları, güvenli olmayanları dahil tekrarlar.

AI üretilen kodlarda yaygın güvenlik açıkları şunlardır:

Moltbook ihlali aslında iki sorundan oluşuyordu: sabitlenmiş API anahtarı (sabitlenmiş sırlar) VE eksik RLS (güvensiz yapılandırma). Her biri tek başına kötü olurdu. Birlikte, bir felaket yarattılar.

Vibe Kodlamayla Kimse Söylemeyenler

Size gerçekten konuşayım. Birçok projede vibe coding yaptım. Gerçekten şeyleri yapma şeklimi değiştirdi. Ancak aynı zamanda bazı zor dersleri zor yoldan öğrendim.

Güvenliği Hâlâ Anlamanız Gerekir

Bir gerçeklik var: AI araçlarını kullanarak güvenli uygulamalar inşa edemezsiniz, güvenliği kendiniz anlamıyorsanız. AI, tehdit modelinizi bilmez. Hangi varlıkları koruduğunuzu bilmez. Sadece makul görünen kod üretir.

Bir güvenlik uzmanına dönüşmenize gerek yok. Ancak şunları anlamanız gerekir:

• Asla istemci tarafı koduna gizli bilgi koymayın
• Veritabanlarında her zaman Satır Düzeyi Güvenliği'yi etkinleştirin
• Hassas yapılandırma için ortam değişkenlerini kullanın
• Uygun giriş doğrulaması uygulayın
• Oluşturulan kodda güvenlik taramaları çalıştırın

Hızlı Prototip, Sonra Mühendislik

Mevcut iş akışım:

• Prototipi vibe code edin — Bir şeyler çalışır hale getirin, fikri gerçek kullanıcılarla doğrulayın
• Ürün-pazar uygunluğunu belirleyin — Her şeye yatırım yapmadan önce
• Üretime yönlendirin — Güvenliği, performansı ve sürdürülebilirliği gerçekten mühendislik yapacağınız yer burasıdır

Prototipleri doğrudan üretime vibe-coded olarak gönderme hatasıdır. Zaman kazanmıyorsunuz — ileride size maliyet verecek teknik borç biriktiriyorsunuz.

İşi İçin Doğru Aracı Kullanın

Bu tartışmalı olabilir, ancak vibe kodlamanın şunlar için uygun olmadığını düşünüyorum:

• Hassas kullanıcı verisi işleyen uygulamalar (sağlık, finans)
• Ödeme işleyen sistemler
• Regülasyon uyumluluk gereksinimleri olan her şey
• Güvenlik arızaları gerçek zararlara neden olabilecek uygulamalar

İç araçlar, MVP'ler ve prototipler için? İstediğinizi yapın. Gerçek kullanıcı verilerini işleyen üretim sistemleri için? Doğru mühendislik yapın.

Kendinizi Nasıl Koruyabilirsiniz

Zaten vibe coding yapıyorsanız (ve haklı olarak yapıyorsunuz — inanılmaz güçlü), şu başlıklardan kaçınmak için nasıl yapacağınızı burada bulacaksınız:

Supabase/Arka Uç İçin

javascript
// WRONG - Never do this
const supabase = createClient('https://xxx.supabase.co', 'YOUR_ANON_KEY_HERE')
// Your service_role key is also exposed here!

// CORRECT - Use environment variables, server-side only
const supabase = createClient(
  process.env.SUPABASE_URL,
  process.env.SUPABASE_ANON_KEY
)

Temel Güvenlik Kontrol Listesi

• [ ] TÜM veritabanı tablolarında Satır Düzeyinde Güvenliği Etkinleştir
• [ ] API anahtarlarını ortam değişkenlerinde saklayın, kod içinde asla saklamayın
• [ ] Üretilen tüm kodda güvenlik taraması çalıştırın (Snyk, CodeQL veya GitHub Advanced Security)
• [ ] service_role anahtarlarını asla istemciye açmayın
• [ ] Tüm kullanıcı girdileri üzerinde uygun giriş doğrulaması uygulayın
• [ ] Kötüye kullanımı önlemek için oran sınırlaması ayarlayın
• [ ] Gerçek kullanıcılarla her şeyi lansman etmeden önce sızma testi alın

Yardımcı Olan Araçlar

Bu, sektör için ne anlama gelir?

Nereye gittiğimiz konusunda gerçekten endişeliyim.

Yazılımın nasıl yapıldığında devasa bir değişiklik yaşıyoruz. Teknik olmayan kurucular artık karmaşık uygulamalar oluşturabiliyor. Giriş bariyeri çöktü. Bu gerçekten heyecan verici.

Ama biz aynı zamanda mağazada kimseyi izlemeyen bir uygulama nesli de yaratıyoruz.

Şunların olması gerektiğini düşünüyorum:

• AI kodlama araçları daha iyi güvenlik varsayılanlarına ihtiyaç duyuyor — Zafiyetleri içine kodlanmış kod üretmeyi bırakın
• Topluluklar bunun hakkında daha çok konuşmalı — Vibe coding hakkında her blog yazısı güvenliği belirtmeli
• Daha iyi araçlara ihtiyacımız var — Otomatik güvenlik taraması her AI kodlama iş akışına yerleştirilmelidir
• Kurucuların sorumluluk üstlenmesi gerekir — Yapay zeka bir şeyler yanlış giderse suçlayamazsınız

Yazılım geliştirmenin geleceği, AI hızı ve güvenlik arasında seçim yapmak değil. İkisini birlikte kullanmayı öğrenmektir.

Sıkça Sorulan Sorular

Sonuç

Moltbook bir olağanüstü durum değil. Geleceğin bir önizlemesidir.

Daha fazla kurucu, güvenlik temellerini anlamadan vibe-kodlu uygulamalar gönderdiği için, daha fazla ihlal, daha fazla sızdırılan API anahtarı, daha fazla açık veritabanı ve daha fazla mağdur göreceğiz.

Bu, vibe kodlamaya karşı bir tartışma değil. Sınırlarını hakkında dürüst olmak için bir tartışmadır.

Hızlı gönder. Fikirleri test et. Hızlı hareket et. Ama gerçek kullanıcı verilerini riske atmadan önce, yavaşlayın ve güvenlik çalışmalarını yapın. Kullanıcılar bilgilerinizle güven ediyor. Bu güvenlik vibe-coded olarak kaybolmamalı.

İlgili Gönderiler

• Vibe Coding Nedir? 2026 Tam Klavuz
• Cursor vs Windsurf for Vibe Coding: Which Wins in 2026?
• 7 Gün'de Bir AI Uygulaması Nasıl Yapılır (Adım Adım
• 100 Beta Kullanıcıyı Hızlıca Nasıl Edinirsiniz

Uygulamanızı güvenle lansman için hazır mısınız? Uygulamanızı GetFree'de listeleyin — geliştiriciler binlerce hedef testçiyle promo kodları ve beta erişimini paylaştığı seçkin bir dizin.

Kaynaklar

Orijinal olarak GetFree.APP Blog'da yayınlandı — Son güncelleme: 17 Şubat 2026