Sampai sini kamu sudah melihat bahwa kode AI bisa jalan tetapi salah untuk kasus tertentu. Di bab ini, masalahnya lebih serius: kode AI bisa jalan dengan baik, tetapi membuka celah keamanan yang tidak terlihat. Beberapa data riset:

Masalahnya bukan AI menulis kode yang tidak jalan. Masalahnya, kode itu jalan dengan baik namun menyimpan celah. Dan karena vibe coding menilai hasil dengan menjalankan aplikasi, celah seperti ini tidak akan terlihat. Aplikasi yang bocor datanya tetap tampil rapi di layar.

1. Celah keamanan klasik. Injeksi SQL, XSS, dan input yang tidak divalidasi.
2. Kebocoran rahasia. API key atau password tertanam langsung di kode.
3. Aturan akses terlupa. Database terbuka karena otorisasi tidak dikonfigurasi.
4. Utang teknis. Kode menumpuk, sulit dipahami dan dirawat.
5. Revisi berulang. Keamanan cenderung menurun setelah banyak putaran prompt.
6. Biaya membengkak. Pemakaian token dan layanan cloud tanpa batas.

Contoh insiden yang umum: AI membuat kode yang membaca dan menulis data ke database, tetapi tidak mengatur kebijakan akses. Hasilnya, data siapa pun bisa dibaca oleh siapa pun. Aplikasinya berfungsi sempurna saat diuji pemiliknya, karena pemiliknya memang hanya melihat datanya sendiri lewat tampilan aplikasi.

Risiko kelima juga perlu diperhatikan. Penelitian menunjukkan keamanan kode memburuk ketika direvisi berulang kali melalui prompt lanjutan. Setiap putaran "perbaiki ini" bisa saja menghapus pengecekan yang sebelumnya ada, demi membuat error hilang.

Misalkan kamu meminta AI menampilkan komentar pengguna. AI bisa saja menulis:

function tampilkanKomentar(nama, isi) {
  return "<p><b>" + nama + "</b>: " + isi + "</p>";
}
// hasilnya lalu dimasukkan ke halaman lewat innerHTML

Dengan input normal, semuanya terlihat baik. Tapi bagaimana kalau seseorang mengisi komentar dengan <img src=x onerror="alert(1)">? Teks itu ikut masuk sebagai HTML dan kode di dalamnya dijalankan di browser setiap pengunjung. Inilah XSS (cross-site scripting).

Perbaikannya adalah escaping: ubah karakter khusus HTML menjadi bentuk aman sebelum disisipkan.

function escapeHtml(teks) {
  return String(teks)
    .replaceAll("&", "&")
    .replaceAll("<", "&lt;")
    .replaceAll(">", "&gt;")
    .replaceAll('"', "&quot;")
    .replaceAll("'", "&#39;");
}

function tampilkanKomentar(nama, isi) {
  return "<p><b>" + escapeHtml(nama) + "</b>: " + escapeHtml(isi) + "</p>";
}

Perhatikan urutannya: & harus diganti paling awal. Kalau tidak, < yang baru dibuat akan berubah lagi menjadi <. Detail kecil seperti ini sering terlewat, baik oleh AI maupun manusia.

Celah klasik ketiga adalah input yang tidak divalidasi. Kode AI sering langsung memakai data dari formulir:

function buatAkun(data) {
  return { username: data.username, umur: data.umur };
}

Fungsi ini menerima username kosong, umur -5, bahkan umur berupa teks. Validasi berarti memeriksa input di batas masuk dan menolak yang tidak sesuai aturan:

function validasiAkun(data) {
  const galat = [];
  const u = typeof data.username === "string" ? data.username.trim() : "";
  if (!/^[a-z0-9_]{3,20}$/.test(u)) galat.push("username");
  if (!Number.isInteger(data.umur) || data.umur < 13 || data.umur > 120) galat.push("umur");
  return galat;
}

Fungsi mengembalikan daftar field yang bermasalah. Daftar kosong berarti input lolos. Polanya penting: periksa tipe dulu, baru isi, lalu kembalikan hasil yang jelas.

Kesalahan yang sangat sering: API key ditulis langsung di kode.

// Buruk: siapa pun yang melihat kode atau repositori bisa memakai key ini
const API_KEY = "sk-rahasia-123";

// Lebih baik: diambil dari environment variable saat aplikasi berjalan
const API_KEY = process.env.API_KEY;

Kalau kode dengan key tertanam sudah di-commit dan di-push ke repositori publik, anggap key itu bocor. Menghapus barisnya di commit berikutnya tidak cukup, karena riwayat Git masih menyimpannya. Ganti key-nya di layanan terkait.

• Rahasia disimpan di environment variable, bukan di kode.
• Otentikasi dan aturan akses data aktif (misalnya row-level security).
• Semua input pengguna divalidasi dan disanitasi.
• Scanner dijalankan: SAST, audit dependensi, deteksi rahasia.
• AI diminta meninjau kodenya sendiri untuk mencari celah.
• Tes otomatis untuk alur penting (login, pembayaran, data).
• Review manusia untuk bagian yang sensitif.
• Log, pemantauan, dan rencana rollback sudah siap.

Ada trik murah tapi ampuh. Studi yang dikutip Kaspersky menemukan bahwa menambahkan instruksi umum seperti "pastikan kode mengikuti praktik keamanan terbaik" di prompt saja sudah memangkas tingkat kerentanan hingga separuhnya. Sebagian besar celah bisa dicegah dengan meminta keamanan secara eksplisit dan menjalankan pemeriksaan otomatis. Namun ingat, instruksi di prompt bukan pengganti scanner dan review. Separuh lebih sedikit tetap bukan nol.

• Percaya karena aplikasinya jalan. Celah keamanan tidak terlihat dari tampilan.
• Menempel API key ke prompt atau kode lalu mem-push-nya ke repositori.
• Merevisi berulang tanpa memeriksa ulang keamanan, padahal keamanan cenderung menurun setiap putaran.
• Lupa membatasi biaya layanan cloud dan token.