VibeSec מרכז ידע בעברית לאבטחת פיתוח בעזרת AI: חדשות, כלים, הנחיות ומקורות לפי שפה. כדי להתחיל, בדקו סודות והרשאות בעשר הבדיקות החשובות ובחרו את סביבת הפיתוח שלכם.
עודכן תוכן העמוד: · מערכת VibeSec · מדיניות המקורות
סקיל מריץ קוד ויכול לגשת לקבצים ולמפתחות שלכם. בדקו אותו לפני ההתקנה, קראו את ההרשאות והתחילו בהרשאות מינימום; סריקה תקינה אינה הבטחת בטיחות.
תוקפים גונבים מפתחות API ומנצלים את יכולות ה-AI של ארגונים כדי להריץ חישובים יקרים על חשבונכם. הנזק יכול להגיע למיליון דולר בחשבוניות ענן, ולכן חשוב להגן על מפתחות הגישה ולנטר פעילות חריגה.
אמ;לק: בדיקת חדירות (Penetration Test, PT) היא ניסיון פריצה מבוקר שעושה אדם מקצועי לאתר או לאפליקציה שלכם, כדי למצוא חולשות לפני שתוקף אמיתי ימצא אותן. היא שווה את הכסף כשיש לכם משתמשים אמיתיים, מידע רגיש או כסף שעובר במערכת, ואחרי שכבר עשיתם את הבדיקות הבסיסיות בעצמכם. לפני זה, רוב הממצאים יהיו דברים שסורק חינמי היה מוצא.
גיא אקרמן · 4 דקות קריאה
אמ;לק: ליווי אבטחה בזמן הפיתוח שווה את הכסף כשהמערכת מחזיקה מידע רגיש או כסף, כשאין בצוות אף אחד שמבין באבטחה, או כשבונים מהר עם AI ומשנים הרבה. לא חייבים ליווי צמוד: לרוב מספיקות כמה נקודות מפגש קבועות. לפרויקט קטן בלי מידע רגיש בדרך כלל מספיק צ'קליסט טוב, וליווי מלא יהיה בזבוז.
גיא אקרמן · 3 דקות קריאה
>סריקה סטטית לקוד Python לאיתור בעיות אבטחה נפוצות.
>SAST עם התמקדות בפרטיות ו-PII
>בדיקת סקילים לפני התקנה — Bitdefender
>בדיקות אבטחה דינמיות ליישומי Web ו-API — מהדורת Community חינמית
>תיעוד רשמי של שילוב Aikido ב-Lovable לבדיקות חדירה ולזיהוי חולשות באפליקציות.
>מאגר קהילתי המרכז כלי הקשחה, אבטחה ופרוטוקולי הגנה ל-Claude Code.
>מדריך וקבצי הגדרה להגבלת הרשאות shell והרצת סקילים בטוחה ב-Claude Code.
>הספרייה הרשמית של Anthropic לבדיקות אבטחה אוטומטיות בתוך Claude Code.
המסמך מרכז סיכונים נפוצים ליישומי ווב. הוא נקודת התחלה לסקירה, ולא רשימת בדיקות שמבטיחה כיסוי מלא.
OWASP Top 10OWASP GenAI מתייחס לסיכונים כגון Prompt Injection. הרשאות לכלים ובדיקות שרת חשובות גם כאשר המודל מתבקש לפעול בזהירות.
OWASP GenAI Security Projectכל פעולה שמקבלת מזהה רשומה צריכה לבדוק הרשאה בצד שרת. הסתרת כפתור אינה מונעת שליחת בקשה ישירה.
OWASP Authorization Cheat Sheetמתחילים בבדיקת סודות, הרשאות לכל רשומה ואחסון קבצים. בודקים כאורח ועם שני משתמשים שונים, מריצים סריקת אבטחה ומטפלים בממצאים. סריקה לבדה אינה הוכחה שהאתר בטוח.
RLS מגביל גישה לשורות במסד הנתונים לפי כללי הרשאה. יש להפעיל אותו ולכתוב מדיניות מפורשת לקריאה ולשינוי, ואז לבדוק כמשתמש שאינו הבעלים. מפתח שרת בעל הרשאות רחבות יכול לעקוף RLS.
מפתח סודי בקוד שמגיע לדפדפן נגיש לכל מבקר. שומרים אותו בשרת בלבד; אם דלף, מבטלים ומחליפים אצל הספק. מפתח ציבורי שמיועד לדפדפן אינו סוד, אך אינו מחליף הרשאות והגבלות שימוש.
מעדכנים ליבה, תוספים ותבניות ממקורות רשמיים, מסירים הרחבות מיותרות ומפעילים אימות דו-שלבי למנהלים. מוסיפים הגבלת ניסיונות כניסה, הרשאות מצומצמות וגיבוי שנבדק בשחזור.
לא. AI מסייע לכתוב ולסקור קוד אך עלול להחמיץ הרשאות, להמציא חבילות או לפרש תוכן זדוני כהוראות. משלבים סקירה אנושית, בדיקות הרשאות וסורקים המתאימים לסביבה.
מבטלים מפתחות חשופים, מצמצמים גישה, שומרים ראיות ובודקים יומני פעילות. מתקנים את נתיב החשיפה ובודקים גיבוי ושחזור. מחיקת המפתח מהקוד בלבד אינה מבטלת אותו או מוחקת את ההיסטוריה.
