Mengapa kode buatan AI tidak aman secara default
AI mengoptimalkan untuk yang kamu berikan, dan prompt kamu hampir selalu bilang "buat ini berfungsi," bukan "buat ini aman." Jadi ia menghasilkan jalan terpendek menuju fitur yang berfungsi. Jalan terpendek biasanya adalah jalan yang tidak aman: query yang digabung dengan string, (salah satu pintu yang bisa diakses ke dalam aplikasi kamu — satu tempat aplikasi merespons permintaan) tanpa pengecekan izin, sebuah yang ditempel langsung di kode karena itulah contoh yang dipelajarinya.
Keadaannya makin buruk, karena AI belajar dari seluruh internet — termasuk satu dekade tutorial dan repo terbengkalai yang sendiri tidak aman. Kode yang tidak aman lebih umum ada di data latihannya dibanding kode yang aman, karena kode yang aman lebih sulit ditulis dan lebih jarang diposting. Ketika kamu meminta "formulir login," secara statistik kamu cenderung mendapatkan formulir login rata-rata di internet, dan formulir login rata-rata di internet punya masalah.
AI juga tidak punya rasa waspada terhadap ancaman. Manusia yang membangun fitur unggah berkas merasakan sedikit kekhawatiran — bagaimana kalau seseorang mengunggah sesuatu yang jahat? AI tidak merasakan apa-apa. Ia menulis handler dengan percaya diri yang sama, entah itu kedap rapat atau terbuka lebar. Tidak ada keraguan, tidak ada "hmm, bagian ini bikin aku gugup." Kamu harus menyediakan sendiri rasa was-was itu.
Kesimpulannya bukan "kode AI berbahaya, jangan pakai." Melainkan bahwa "ini berfungsi" dan "ini aman" adalah dua pertanyaan yang berbeda, dan AI hanya menjawab yang pertama kecuali kamu memaksanya menjawab yang kedua.