Найди дыры в проекте до того, как их найдут другие

Что это

Проекты, собранные с ИИ, часто работают, но открыты нараспашку: ключ от платного сервиса лежит прямо в коде страницы, данные других пользователей можно получить, поменяв цифру в адресе, админка открывается без пароля. Сам ты этого можешь не заметить, зато случайный любопытный заметит быстро.

Промпт заставляет агента пройтись по проекту глазами проверяющего: найти конкретные места, объяснить риск без жаргона и разложить находки по срочности. Сначала только отчёт — чинить будешь после, по одной находке.

Подходит для лендингов с формами, ботов в Telegram, мини-сервисов с оплатой и входом, внутренних инструментов.

Как использовать

1. Сделай коммит или копию проекта. Открой его в Claude Code, Codex или Cursor — в новой сессии.
2. Заполни поля: что за проект, где он работает, какие данные хранит. Отправь.
3. Прочитай отчёт. Пункты «срочно» чини сразу: «исправь находку 1, покажи план до правок».
4. После каждой правки проси показать, как проверить, что дыра закрыта.
5. Если в отчёте нашлись ключи в коде или репозитории — считай их утёкшими: перевыпусти в сервисе: удалить из файла мало.

Типичные дыры в проектах, собранных с ИИ

Агент пишет код, который работает, и редко думает о том, кто ещё может им воспользоваться. В аудитах вайбкодинг-проектов снова и снова встречаются одни и те же вещи.

Ключи в коде страницы. Ключ от OpenAI или платёжного сервиса лежит в JavaScript, который виден любому посетителю через «Просмотр кода». Счёт за чужие запросы придёт тебе.

Чужие данные по соседнему номеру. Заявка открывается по адресу вида /order/125, и достаточно поменять число, чтобы увидеть заказ другого человека с его телефоном.

Админка без проверки прав. Кнопки скрыты в интерфейсе, но сам адрес открывается без входа.

Форма без ограничений. Скрипт может отправить тысячу заявок за минуту и заспамить тебе почту или съесть лимит платного API.

Файл .env в репозитории. Пароли от базы уехали на GitHub вместе с первым коммитом, и удалить их одним новым коммитом нельзя: они остаются в истории.

Проверять свой проект на это стоит до того, как ссылка уйдёт первым пользователям.

Рядом по теме: Безопасность перед релизом: security-checklist.md, Матрица ролей и прав для SaaS, Проверка ТЗ подрядчика до подписания, статья «Как сделать Telegram-бота с ИИ» и Чек-лист «Перед запуском» (бесплатно).

Что дальше

Чини по одной находке — удобно по шаблону Исправить ошибку в проекте и доказать, что она решена. Если в проекте есть ИИ-агент с доступом к почте, CRM или файлам, следом возьми Агент, которого не уговорят слить данные, а бота продаж или поддержки прогони через Краш-тест ИИ-менеджера перед запуском. 12 модов Claude Code для вайбкодера (490 ₽) добавят защиту ключей и корзину вместо удаления, чтобы новые дыры не появлялись.