AI 直觉编码 Vibe coding 安全风险爆发 混合架构成企业落地新思路
苹果 2.5 亿美元 iPhone AI 和解案提速 这些机型用户可申领 25‑95 美元赔付
57 个 AI 核心术语大全 看懂大模型、智能体、幻觉等行业高频名词
ChatGPT 新增 Mac 计算机历史功能 可记录设备操作扩充 AI 记忆
Thrive 创始人抨击硅谷 AI 投资狂热 主张集中资本拒绝广撒网模式
太敢说！胡锡进痛批AI 短剧：没灵魂的电子饲料
国产人形机器人拿下全球97%，智元首次反超宇树科技
DeepSeek V4 Pro正式版深夜“突袭”：多项测试逼近Fable 5，撞车Grok 4.6
别只看宇树科技估值610亿，巨头买的不是机器人
清查AI中转站：中国监管升级与开放创新的平衡考验
Manus即将恢复独立运营 并将继续为全球数百万用户提供服务 秒懂甄选 发布于：2026-08-12 10:30:04 栏目：新闻 -
Vibe coding 即 AI 直觉编码流行的同时暴露出大量高危漏洞，数据库、API 密钥泄露事件频发。行业提出混合架构，依托预制安全基础设施约束 AI 生成代码，搭配权限管控治理影子 AI 风险，以此满足中小企业到大型企业不同等级安全合规需求。
Vibe coding(直觉式 AI 编码)如今风靡一时，但它带来了严峻的安全风险，包括数据库暴露、API 密钥泄露、可远程操控的提示注入攻击以及 AI 数据爬取等问题。这不禁让人思考：是否存在一套可在生产环境稳定运行的 Vibe coding 实现方案?我与 Softr 增长负责人希兰・布罗迪进行面对面交流，探讨 Vibe coding 的各类安全难题以及对应的解决思路。
Softr 最初定位是无代码应用搭建工具，面向专业人员、中小企业以及大型企业，帮助其搭建应用或业务门户，支撑内部业务流程。这就意味着平台需要处理大量企业专有数据，安全始终是重中之重。自上线以来，原版产品历经多次迭代升级，如今 Vibe coding 已经成为该平台的核心功能之一。
布罗迪谈及企业布局该赛道时遭遇的各类挑战，以及帮助平台渡过难关的解决方案。我们也探讨了 Softr 这类应用开发平台提出的混合架构方案：在成熟的安全基础设施之上叠加 Vibe coding 能力，基础设施包含内置数据库管理、访问权限控制、开发者可视能力。但这套混合安全体系的技术原理是什么?更关键的是，它在实际环境中能否真正发挥作用?
2025 年，安全公司 Escape DAST 对 Loveable、Replit、Base44 以及 Bolt 等平台产出的 5600 个 Vibe‑Coded 应用开展安全分析。其中超 2000 款应用存在安全缺陷，一共检出 2038 个高危漏洞，还有 400 多组凭证信息发生泄露。
“根源问题在于，这类平台都是从零生成原始代码。” 布罗迪解释道。简单易用是 Vibe coding 最大的吸引力，却也埋下后续的安全隐患。“它屏蔽了开发过程中的大量复杂细节，但非技术用户根本意识不到潜藏的风险。”
同样在 2025 年，佐治亚理工学院的研究团队推出 Vibe Security Radar 平台，直接抓取公开安全公告，追溯漏洞源头，定位到 AI 编码平台与大语言模型。研究人员梳理超 4 万条安全公告，在 8 个 Vibe coding 平台中发现 43 个高危漏洞，会造成命令注入、服务端请求伪造、身份认证绕过等问题。即便到 2026 年的近几个月，安全分析师还发现 Meta 旗下 Moltbook 与 Hugging Face 社区出现大规模 API 泄露事件。绝大多数安全事故的根源都是 AI 生成代码质量低劣，没有做好防护，导致私有 API 密钥暴露在公网。
布罗迪认为，Vibe coding 的核心弊端是将大量核心基础设施交由 AI 生成，就连第三方集成、权限管理这类关键模块也不例外，绝大多数漏洞都诞生于此。
Softr 没有让 AI 从零编写每一款应用，而是保留已经预制完成的后端基础设施、托管环境、第三方集成与权限管理体系。Vibe coding 只负责增强设计自由度与智能化流程自动化，核心底层系统保持不变。
举个例子，如果你想要搭建内部门户，通过 API 从企业数据库调取指定数据。Claude Code 或者 Loveable 的实现方式是调用 AI，自定义逻辑、网络钩子以及界面连线完成集成。而在 Softr 平台，这类集成是预制组件，安全规范已经内置。用户依旧可以借助 Vibe coding 修改外观与功能，但底层系统和安全协议不会被破坏。
从开发术语来讲，该模式叫可视化脚手架。除 Softr 之外，多家无代码平台也采用这套思路，落地效果参差不齐。例如 Framer 应用市场上线 AI 驱动的 Workshop 扩展，后续升级为平台内置的提示词开发工具与 AI 智能代理，可以处理持续维护任务。专门用来开发 iOS、安卓移动端应用的无代码工具 FlutterFlow，同样支持在安全约束下，由 AI 生成页面与组件。
布罗迪解释 Softr 平台内 AI 生成模块与安全层的隔离机制时强调：“它并非 iframe 嵌套。”AI 生成代码被限制在特定组件模块中，自定义代码运行会受到约束。“这些模块运行在我们自有基础设施框架之内。”
影子 AI，是传统 “影子 IT” 在 AI 时代的新形态。员工未经 IT 部门审批就把企业数据导入第三方软件平台，企业就会面临数据治理与网络安全风险。AI 时代的影子 AI 危害更大，风险不再只是不受管控的 Trello 项目看板;员工使用个人账号运行 Claude Code、Gemini，却能够访问企业核心数据库。AI 编码工具个人版额度充足，员工很容易私自搭建应用处理企业数据，脱离统一审批管控。
“员工没有动力去遵循企业的安全管控规则。” 布罗迪表示。就算员工主动上报自己用 Vibe coding 开发的应用，IT 团队还得维护、排错这些质量糟糕的代码，而这些代码本身根本无法通过常规安全审计。
今年早些时候，RedAccess 对 Lovable、Replit、Base44 产出的 38 万余个 Vibe‑Coded 应用扫描检测。发现超 5000 款应用公网可访问，其中 2000 个正在泄露企业业务数据，包含客户敏感财务、医疗信息。
仅仅修复大模型、Vibe coding 工具的代码缺陷远远不够。企业还需要完善访问控制机制，提升管理员全局可视能力。IT 团队能够全盘掌握人员访问权限、随时管控权限，私自搭建的违规门户泄露企业数据的概率就会大幅降低。
MCP 即模型上下文协议，是 Anthropic 推出的开源标准，用于安全对接大模型与外部应用、数据源。凭借易用性与免费特性，MCP 迅速成为行业通用标准。但 MCP 连接器会继承对接数据库、应用本身的权限体系。
Softr 自研数据库管理系统，能够管控 MCP 的读写范围。布罗迪举例，她使用 Claude 的 MCP 连接器读写 Softr 数据库，安全性依托于平台内置的权限规则。绝大多数 Vibe coding 平台并没有这套访问管控能力。
Vibe coding 工具经常直接拿到原始数据库的完整权限，中间缺少权限隔离层。一旦攻击者发起提示注入攻击，数据泄露风险急剧升高。企业向第三方合作方、客户开放 Vibe‑Coded 应用访问权限时，数据访问管控更是硬性安全要求。
除自有数据库外，Softr 预置 60 余款第三方集成，对接 HubSpot、Stripe、ClickUp 等服务，全部预先落地安全标准，降低数据泄露风险。也可以对接 Zapier、Make，调用更多预制自动化流程，整体安全性高于普通 Vibe coding 实现的 MCP 对接。
中小企业、初创企业和跨区域大型企业的安全需求差异巨大。小微企业一般满足基础权限管控、数据加密就足够;而企业级客户需要 GDPR、SOC II 合规，可指定数据存储机房，还要支持多因素认证、单点登录等高强度访问管控。
越来越多初创企业意识到 Vibe coding 带来的企业级安全缺口，和 Softr 一样推出具备可视性、治理能力的解决方案。低代码搭建平台 Retool 取得 SOC II Type1 认证，针对 AI 功能实现严格的基于角色权限管控，限制大模型触碰核心数据库与基础设施。WaveMaker 同样提供全套安全能力，支持 LDAP 身份认证、集中权限管理、XSS 防护，对接 Okta 实现单点登录，以此争取企业客户。
“没有哪家企业愿意额外招聘、培训开发人员，只为保障一套内部工具的安全。” 布罗迪称。大型企业期望 AI 开发平台原生解决安全治理。接连爆发多起公开安全事件之后，各大无代码平台都在寻找方案，兼顾用户开发自由度，同时规避复杂问题，而这正是用户当初选择 Vibe coding 的初衷。
原创视频
文章
AI视频
热词
