Vibbekoding: Den usynlige sikkerhetsrisikoen som vokser i norske bedrifter
Vibbekoding (eller vibe coding), som innebærer at ansatte bruker KI-verktøy til å bygge systemer raskt og uten tradisjonell opplæring, har senket terskelen for å lage egne, digitale løsninger. Det som tidligere krevde erfarne utviklere og uker med arbeid, kan nå settes opp av hvem som helst på få timer, ofte uten at den som bygger det fullt ut reviderer og forstår koden som genereres.
Men hastighet og enkelhet har en pris. Mange KI-verktøy er bygget for å være lett å ta i bruk, uten fokus på å ivareta sikkerheten. Det betyr at sikkerhet må konfigureres aktivt og korrekt av den som bygger løsningen. Gjøres dette feil, eller ikke i det hele tatt, kan bedriftens data ligge åpent tilgjengelig på internett for hvem som helst som vet hvor de skal se.
Slik oppstår sikkerhetshullene
I mange bedrifter brukes KI-verktøy til å sette opp dashboards, kundeportaler, CRM-systemer og bestillingsløsninger. Intensjonen er gjerne at resultatet skal være sikkert, og beskyttelse aktiveres for de delene man kjenner til og anser som viktige. Supabase er ett av de mest populære verktøyene til dette formålet. Dette er en database med tilhørende tilkoblinger mot internett, klar til bruk på minutter. Slik utvikling skjer gjerne uten en overordnet strategi for hvordan KI-verktøy skal brukes i virksomheten, noe som er tilfellet i de fleste norske bedrifter i dag.
Men slik oppstår sikkerhetshullene:
-
En ny kolonne med kundedata havner ved en feil i en tabell som er for åpen.
- En automatisk jobb som henter data fra regnskapssystemet, kjører uten passordbeskyttelse.
- Et dashboard som ble laget «bare midlertidig» lever videre i årevis.
- API-nøkler og passord havner i kildekoden, bevisst eller ubevisst.
En vanlig fallgruve er at nøkkelen som gir tilgang til dataene følger med i koden som er synlig for alle. Det er som å henge husnøkkelen på utsiden av døren.
– Vi har sett eksempler der sensitive bedriftsdata har ligget helt åpent, tilgjengelig for hvem som helst med litt tid og de rette verktøyene. I ett tilfelle kunne vi konstatere at hele selskapets finansielle historikk, kundedata med betalingsstatus, ansattopplysninger og interne kontrakter lå eksponert, uten innlogging, uten behov for spesiell teknisk kompetanse, og uten at selskapet selv visste det, sier Dr. Gjøsæter.
Faren for automatiserte angrep
Det er en reell risiko for at angripere kan automatisere en prosess der de systematisk leter gjennom tusenvis av bedrifter samtidig.
En kriminell aktør kan:
- Skanne internett systematisk etter nettsider og tjenester som bruker usikrede verktøy.
- Sette en KI-agent på hver av dem.
- Lagre alle funn: finansdata, kundedata, personopplysninger.
- Vente til selskapet vokser, begynner å tjene penger, eller timingen er riktig.
- Kontakte selskapet med dokumentasjon på hva de har funnet, og et krav om betaling for at det ikke skal gå videre.
Når man ser på hvordan hackere opererer, er dette en logisk forlengelse av det som allerede er teknisk mulig i dag, med fritt tilgjengelige verktøy.
Hva bør din bedrift gjøre nå?
- Kartlegge hvilke KI-verktøy som brukes av ansatte og til hvilket formål.
- Klassifisere dataene deres, få oversikt over hvilke data dere har, hvor de befinner seg og hvor sensitive de er.
- Kartlegge hvilke data som er tilgjengelige uten innlogging, og om det ligger personopplysninger eksponert.
- Avklare hvem som har ansvar for sikkerheten i det som er bygget.
- Få en tredjepart med sikkerhetskompetanse til å gjennomgå systemet for å sikre at det ikke finnes hull.
5 vanlige spørsmål om vibbekoding
- Hva er vibbekoding, og hvorfor er det en sikkerhetsrisiko? Vibbekoding er når ansatte bruker KI-verktøy til å bygge digitale løsninger raskt, ofte uten tradisjonell utviklerkompetanse. Risikoen oppstår fordi sikkerhet må konfigureres aktivt og korrekt, noe som lett blir oversett når tempoet er høyt.
- Hvordan vet jeg om bedriften min allerede har eksponert data? Det krever som regel en gjennomgang av hvilke KI-verktøy som er i bruk, hvor dataene ligger, og hva som er tilgjengelig uten innlogging. Mange oppdager ikke sårbarheter før en tredjepart med sikkerhetskompetanse vurderer systemet.
- Er det bare store bedrifter som er utsatt? Nei. Fordi angripere kan automatisere skanning av tusenvis av virksomheter samtidig, er små og mellomstore bedrifter like utsatt, og ofte mer, fordi de sjeldnere har en strategi for bruk av KI.
- Hva er de vanligste feilene som fører til eksponering? Typiske fallgruver er API-nøkler og passord i kildekoden, tabeller med for åpne tilganger, automatiserte jobber uten passordbeskyttelse, og «midlertidige» dashbord som blir stående uten oppfølging.
- Hva bør vi gjøre først dersom vi mistenker en sårbarhet? Start med å kartlegge hvilke verktøy som er i bruk og hvilke data dere har. Deretter bør dere få en tredjepart til å gjennomgå systemet, og avklare hvem som har ansvaret for sikkerheten i det som er bygget.
Slik kan vi hjelpe
Vi i Nordlo kan gjennomføre en kartlegging av hvordan virksomheten bruker vibbekodingsverktøy, og identifisere hvilke data som eventuelt er eksponert. Vi leverer en prioritert handlingsplan og kan gjennomføre tiltakene for dere, fra teknisk gjennomgang og sikker konfigurasjon til opplæring av ansatte og løpende overvåking.
Abonner på vårt nyhetsbrev!
Relaterte artikler
Skalerbar IT for deres virksomhet
Vi tilbyr fleksible og fremtidssikrede løsninger, som er optimalisert for å øke produktiviteten og effektiviteten i deres organisasjon – slik at dere kan fokusere på å drive virksomheten fremover.
- Fleksibilitet og skalerbarhet
- Innovative og fremtidssikrede løsninger
- Sikker drift og overvåking