Vibe Coding: l'app da un miliardo di dollari e il debito di sicurezza di cui nessuno parla
Lo sviluppo prompt-to-app è in piena esplosione. Così come le fughe di dati. 38 milioni di record esposti attraverso Power Apps, 125 milioni attraverso Firebase, il 40% del codice generato dall'IA risultato vulnerabile. Ecco perché la governance, non prompt migliori, è la risposta.
\"Generami un'app da un miliardo di dollari\" è un ottimo prompt. Finché i dati dei Suoi clienti non finiscono su internet.
Il vibe coding, la pratica di sviluppare software attraverso prompt in linguaggio naturale e assistenti IA, è passato da tendenza di Twitter a realtà aziendale in meno di due anni. GitHub lo descrive come \"programmazione assistita dall'IA, guidata dal linguaggio naturale.\" Google Cloud lo estende al \"vibe deploying\": un prompt che genera non solo codice, ma anche passaggi di deployment.
L'attrattiva è evidente. I dipendenti non tecnici possono creare strumenti interni. I prototipi passano dall'idea all'app funzionante in poche ore. I team di sviluppo rilasciano più velocemente che mai.
Ma il bilancio della sicurezza racconta una storia diversa.
Gli incidenti che dovrebbero farLa fermare
Nel 2021, UpGuard ha scoperto che i portali Microsoft Power Apps esponevano dati tramite feed OData anonimi: 38 milioni di record presso 47 organizzazioni, dati di contact tracing, appuntamenti vaccinali, numeri di previdenza sociale. La causa principale non era un exploit sofisticato, bensì una combinazione di configurazioni frequentemente impostata in modo errato.
In Firebase, i ricercatori hanno riscontrato esposizioni di massa dovute a regole di sicurezza mal configurate: circa 125 milioni di record utente identificati come estraibili. Firebase \"consente una facile configurazione errata senza alcun avviso.\"
Nel 2025, il costruttore di app no-code Passion.io ha esposto 3,6 milioni di record (12,2 TB) tramite un database non protetto e non crittografato. E presso Retool, un attacco di smishing mirato nel 2023 ha portato all'accesso non autorizzato a 27 account cloud attraverso token MFA compromessi.
Perché le app vibe-coded si rompono in modo diverso
Configurazione come codice, ma senza code review. Nelle piattaforme low-code, la sicurezza non risiede nel codice sorgente, ma nelle impostazioni dei permessi, negli scope dei connettori e nelle policy di accesso alle tabelle. Queste vengono configurate tramite toggle dell'interfaccia, non scritte in file soggetti a revisione nelle pull request.
L'autorizzazione risiede nell'interfaccia, non sul server. Mendix avverte esplicitamente: \"Qualsiasi utente può comunicare direttamente con l'API.\" Se il controllo degli accessi è implementato solo come restrizione dell'interfaccia, un aggressore che comunica direttamente con l'API vede tutto.
I connettori sono amplificatori di privilegi. Google avverte che la condivisione di un potente account di servizio predefinito tra più app è \"molto rischioso.\" Ma nelle piattaforme low-code, la condivisione delle connessioni di servizio è una funzionalità di prima classe, e un percorso diretto verso l'amplificazione dei privilegi.
Il codice generato dall'IA introduce nuovi rischi nella supply chain. Uno studio su larga scala ha trovato oltre 205.000 nomi di pacchetti allucinati nel codice generato dall'IA. Gli aggressori pubblicano pacchetti con questi nomi allucinati (\"slopsquatting\"). Inoltre, Pearce et al. hanno riscontrato che circa il 40% del codice generato da Copilot è vulnerabile.
Il divario di governance al centro del vibe coding
La Top 10 OWASP per il Citizen Development identifica il \"Blind Trust\" come rischio fondamentale: i citizen developer presumono che il codice generato dalla piattaforma sia \"intrinsecamente sicuro.\" Il risultato: le app vanno in produzione senza threat modeling, con connettori sovraprivilegiati, senza logging.
Cosa dovrebbero fare le aziende
Deny by Default. Ogni endpoint dati, ogni connettore, ogni API dovrebbe richiedere un'autorizzazione esplicita.
Trattare ogni connettore come un raggio d'impatto. Identità di servizio separate per ogni app. Least privilege su ogni integrazione. Audit trimestrale degli scope dei connettori.
Controllare la pubblicazione, non solo lo sviluppo. Controlli di sicurezza pre-pubblicazione, diff dei permessi e scansione degli endpoint pubblici come gate obbligatori.
Rendere la governance il percorso più semplice. Il livello di governance deve essere integrato nel flusso di lavoro, invisibile, automatico e non negoziabile.
Registrare tutto. Se non è possibile tracciare quali dati sono stati consultati, quali connettori sono stati invocati e quali azioni sono state attivate, non è possibile né rispondere agli incidenti né dimostrare la conformità.
hegyon.ai governa il livello tra il Suo personale, i Suoi dati e l'IA, che si tratti di interrogare modelli, creare app o connettere sistemi. Ogni flusso di dati è regolato dalle policy. Ogni interazione è registrata. Ogni connettore ha uno scope definito. Perché nell'era del vibe coding, il rischio più grande non è il codice scadente, sono i dati non governati.