Vibe Coding and Web Application Security: A Twin-Prompt Study
यह प्रारंभिक अध्ययन प्रदर्शित करता है कि प्राकृतिक-भाषा प्रॉम्प्ट्स के साथ स्पष्ट रूप से सुरक्षा आवश्यकताओं को जोड़ना, एआई-जनित वेब अनुप्रयोगों में पुष्ट कमजोरियों की संख्या को काफी कम कर देता है, जिसमें सुरक्षा-जागरूक संस्करण अपने बेसलाइन समकक्षों की तुलना में कोई भी गंभीर या उच्च-गंभीरता वाली समस्याएँ नहीं रखते हैं।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
आधुनिक डिजिटल दुनिया में, सॉफ्टवेयर अक्सर कंप्यूटर से हमारे लिए इसे लिखने के लिए कहने से बनाया जाता है। हम जो चाहते हैं उसका एक विवरण टाइप करते हैं—एक ब्लॉग, एक स्टोर, एक टास्क मैनेजर—और लाखों लाइनों के कोड पर प्रशिक्षित एक शक्तिशाली आर्टिफिशियल इंटेलिजेंस, इसे काम करने के लिए आवश्यक निर्देश उत्पन्न करता है। यह अभ्यास, जिसे कभी-कभी "वाइब कोडिंग" कहा जाता है, इस विचार पर निर्भर करता है कि मशीन न केवल सॉफ्टवेयर के कार्य को समझती है, बल्कि उन छिपे हुए नियमों को भी समझती है जो इसे सुरक्षित रखते हैं। हालांकि, एक संदेह बना हुआ है: क्या मशीन स्वाभाविक रूप से आवश्यक ताले और अलार्म शामिल करती है, या वह केवल एक काम करने वाला दरवाजा बनाती है बिना इस बात की चिंता किए कि कौन इसमें घुसने की कोशिश कर सकता है? सॉफ्टवेयर में सुरक्षा केवल एक प्रोग्राम चलाने के बारे में नहीं है; यह सुनिश्चित करने के बारे में है कि रहस्य गुप्त रहें, उपयोगकर्ता किसी और होने का ढोंग न कर सकें, और सिस्टम गलती से अजनबियों को अंदर आने न दे दे। जैसे-जैसे ये AI उपकरण अधिक सामान्य होते जा रहे हैं, प्रश्न यह नहीं रह गया है कि क्या वे कोड बना सकते हैं, बल्कि यह है कि क्या वे बिना स्पष्ट रूप से बताए सुरक्षित कोड बना सकते हैं।
ज़ाग्रेब विश्वविद्यालय के एक शोधकर्ता ने इस प्रश्न का उत्तर देने के लिए एक शोधकर्ता के रूप में AI को एक ऐसे छात्र की तरह मानकर इस पर काम किया जिसे सही काम करने के लिए एक विशिष्ट निर्देश की आवश्यकता हो सकती है। इस अध्ययन में छह अलग-अलग वेब एप्लिकेशन बनाना शामिल था, जो एक साधारण ब्लॉग से लेकर एक प्रशासनिक डैशबोर्ड वाले दुकान तक विस्तृत थे। प्रत्येक एप्लिकेशन के लिए, शोधकर्ता ने AI को इसे दो बार बनाने के लिए कहा। पहला अनुरोध सॉफ्टवेयर को क्या करना चाहिए, इसका एक मानक विवरण था। दूसरा अनुरोध हर तरह से समान था, सिवाय एक जोड़ के: सुरक्षा नियमों की एक स्पष्ट सूची, जैसे कि "पासवर्ड को सादे टेक्स्ट (plain text) में स्टोर न करें" और "सत्यापित करें कि प्रत्येक उपयोगकर्ता वही है जो वह होने का दावा करता है।" इस सेटअप ने एक सामान्य प्रॉम्प्ट के साथ बनाए गए संस्करण और एक विशिष्ट सुरक्षा अनुस्मारक के साथ बनाए गए संस्करण के बीच सीधा तुलना करने की अनुमति दी, जबकि बाकी सब कुछ—AI मॉडल, उपयोग किए गए उपकरण और जनरेशन प्रक्रिया—बिल्कुल समान रखा गया।
यह देखने के लिए कि क्या हुआ, शोधकर्ता ने केवल कोड को नहीं देखा; उन्होंने सभी बारह एप्लिकेशनों को परीक्षणों की एक कठोर श्रृंखला के अधीन किया। उन्होंने स्वचालित स्कैनर्स का उपयोग किया जो खतरनाक पैटर्न के लिए सोर्स कोड को पढ़ते हैं, उन उपकरणों का उपयोग किया जो सॉफ्टवेयर को चलते समय चेक करते हैं कि क्या इसे धोखा दिया जा सकता है, और मैन्युअल परीक्षण का एक अंतिम दौर जहाँ एक मानव विशेषज्ञ ने उन रचनात्मक तरीकों का उपयोग करके सिस्टम में घुसपैठ करने की कोशिश की जिन्हें मशीनें मिस कर सकती हैं। परिणाम चौंकाने वाले थे। सुरक्षा अनुस्मारक के साथ बनाए गए संस्करणों में बेसलाइन संस्करणों की तुलना में काफी कम समस्याएं थीं। वास्तव में, सुरक्षित संस्करणों में कोई गंभीर या उच्च-स्तरीय सुरक्षा दोष नहीं थे, जबकि अनुस्मारक के बिना बने संस्करणों में गंभीर मुद्दे थे, जिनमें ऐसी कमजोरियां शामिल थीं जो हमलावर को किसी उपयोगकर्ता के खाते पर कब्जा करने या निजी डेटा तक पहुँचने की अनुमति दे सकती हैं। अनुस्मारक ने सॉफ्टवेयर को पूर्ण नहीं बनाया; इसने कुछ मामूली कॉन्फ़िगरेशन संबंधी समस्याएं छोड़ दीं जो दोनों संस्करणों में आम थीं, लेकिन इसने सबसे खतरनाक त्रुटियों को सफलतापूर्वक समाप्त कर दिया।
अध्ययन ने यह भी खुलासा किया कि इन खामियों को ढूंढना किसी एक उपकरण का काम नहीं है। कोड को पढ़ने वाले स्वचालित स्कैनर्स ने कई समस्याएं पाईं जिन्हें चलते हुए सॉफ्टवेयर की निगरानी करने वाले स्कैनर्स ने मिस कर दिया, और इसके विपरीत भी। सबसे महत्वपूर्ण रूप से, पूरे प्रयोग में पाई गई एकल सबसे गंभीर भेद्यता (vulnerability)—एक दोष जिसने हमलावर को एक डिजिटल पहचान बनाने और खाते पर कब्जा करने की अनुमति दी थी—को किसी भी स्वचालित उपकरण द्वारा नहीं पहचाना गया। इसकी खोज केवल तभी हुई जब एक मानव ने सिस्टम का मैन्युअल परीक्षण किया। यह सुझाव देता है कि हालांकि AI को सुरक्षित रहने के लिए कहना मदद करता है, लेकिन यह मानव निरीक्षण और जांच के कई स्तरों की आवश्यकता को प्रतिस्थापित नहीं करता है। शोधकर्ता ने उल्लेख किया कि चूंकि यह केवल एक एप्लिकेशन के प्रति एक रन के साथ एक छोटा प्रयोग था, इसलिए परिणाम एक अंतिम प्रमाण के बजाय एक मजबूत सुझाव हैं, लेकिन पैटर्न हर एक मामले में सुसंगत था। यह कार्य एक प्रारंभिक कदम के रूप में कार्य करता है, जो यह दर्शाता है कि सुरक्षा के लिए एक सरल, स्पष्ट अनुरोध आर्टिफिशियल इंटेलिजेंस द्वारा उत्पन्न सॉफ्टवेयर की सुरक्षा में नाटकीय रूप से सुधार कर सकता है, भले ही यह अपने आप में हर एक गलती को नहीं पकड़ सकता है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।