Vibe Coding Makin Populer, Riset Ungkap Satu dari Tiga Aplikasi Bocor Data

Menulis aplikasi cukup dengan mengetik perintah bahasa sehari-hari memang terasa seperti sihir. Tapi di balik kecepatan itu, para peneliti keamanan menemukan pola kebocoran yang berulang dan mengkhawatirkan.

"Vibe coding" — istilah untuk praktik membangun software dengan mengandalkan perintah bahasa alami ke AI, alih-alih menulis kode secara manual — telah menjadi arus utama dalam pengembangan software sepanjang 2026. Namun di balik kecepatan dan kemudahannya, sejumlah riset keamanan independen menemukan pola kerentanan yang berulang dan konsisten pada aplikasi-aplikasi yang dibangun dengan pendekatan ini.

1 dari 3 Aplikasi Punya Celah Keamanan Serius

Escape.tech, perusahaan riset keamanan siber, memindai 5.600 aplikasi vibe-coded yang telah dipublikasikan secara daring dan menemukan lebih dari 2.000 kerentanan berdampak tinggi serta 400 kredensial rahasia (secrets) yang terekspos. Artinya, kira-kira satu dari tiga aplikasi yang dibangun lewat tool AI coding mengandung celah keamanan serius yang bisa dieksploitasi siapa pun.

Sebuah firma penetration testing lain yang mengaudit 15 aplikasi berbasis vibe coding menemukan total 69 kerentanan, enam di antaranya berkategori kritis — bukan sekadar potensi teoretis, melainkan celah nyata yang memungkinkan penyerang membaca database, membajak sesi pengguna, atau mengeskalasi akses hingga level root pada aplikasi yang sudah menangani data pengguna sungguhan.

Veracode: 45 Persen Kode Buatan AI Gagal Uji Keamanan

Veracode menguji lebih dari 100 model bahasa besar (large language model) pada tugas pemrograman yang sensitif terhadap keamanan, dan menemukan 45 persen sampel kode yang dihasilkan AI mengandung kerentanan dari daftar OWASP Top 10 — daftar risiko keamanan aplikasi web paling kritis versi Open Web Application Security Project. Bahasa pemrograman Java mencatatkan tingkat kegagalan terburuk, mencapai 72 persen. Secara spesifik, 86 persen sampel kode gagal mempertahankan diri dari serangan cross-site scripting, dan 88 persen rentan terhadap log injection.

Menariknya, riset yang sama menemukan kesalahan sintaksis pada kode buatan AI turun 76 persen dan bug logika turun 60 persen — kemungkinan besar inilah yang membuat developer merasa lebih produktif dan percaya diri. Namun jenis kerentanan yang justru meningkat adalah yang bersifat arsitektural dan lebih sulit dideteksi: jalur eskalasi privilege naik 322 persen, dan cacat desain arsitektur naik 153 persen.

Ironi Terbesar: Developer Terlalu Percaya Diri

Riset dari Cloud Security Alliance menemukan tingkat kepercayaan developer terhadap kode buatan AI ternyata tidak sejalan dengan kenyataan di lapangan. Lebih dari 75 persen developer dalam sebuah survei meyakini kode buatan AI lebih aman dibanding kode buatan manusia, meski 56 persen di antaranya mengakui kode tersebut kerap menimbulkan masalah keamanan.

Insiden Nyata: dari 1,5 Juta Kunci API Bocor hingga Database Terhapus

Sejumlah insiden nyata memperkuat temuan riset ini. Platform Moltbook mengalami kebocoran 1,5 juta token autentikasi API, 35.000 alamat email, dan pesan pribadi antar-pengguna dalam waktu tiga hari, akibat konfigurasi database Supabase yang keliru — kunci API terekspos di kode JavaScript sisi klien tanpa mengaktifkan kebijakan Row Level Security (RLS).

Platform pembuat aplikasi Lovable tercatat mengalami insiden keamanan serupa sebanyak tiga kali dalam 13 bulan terakhir, termasuk kerentanan Broken Object Level Authorization (CVE-2025-48757) yang memungkinkan pengguna akun gratis membaca kode sumber, kredensial database, hingga riwayat percakapan AI milik pengguna lain. Sementara itu, platform Base44 — yang kini diakuisisi Wix — sempat mengalami celah otentikasi yang memungkinkan siapa pun mendaftarkan akun terverifikasi pada aplikasi privat manapun, hanya dengan mengetahui ID aplikasi yang terlihat jelas di URL.

Georgia Tech: Lonjakan CVE Terkait Kode AI Enam Kali Lipat dalam Dua Bulan

Proyek Vibe Security Radar milik Systems Software and Security Lab (SSLab) di Georgia Tech, yang secara khusus melacak celah keamanan (CVE) yang secara langsung disebabkan kode buatan AI, mencatat lonjakan tajam: dari hanya enam CVE baru pada Januari 2026 menjadi 35 CVE baru pada Maret 2026 — indikasi bahwa masalah ini terus membesar seiring makin luasnya adopsi vibe coding.

"Slopsquatting": Ancaman Baru dari Paket yang Tidak Pernah Ada

Salah satu pola serangan baru yang muncul dari fenomena ini disebut "slopsquatting". Sekitar 20 persen sampel kode buatan AI mereferensikan paket software yang sebenarnya tidak pernah ada — halusinasi yang berpola dan bisa diprediksi. Penyerang memanfaatkan celah ini dengan mendaftarkan nama paket halusinasi tersebut secara nyata di platform seperti npm atau PyPI, lalu mengisinya dengan malware. Studi menemukan 43 persen nama paket halusinasi ini berulang secara konsisten di setiap kali percobaan — pola yang justru membuatnya makin mudah dieksploitasi penyerang.

Bukan Berarti Vibe Coding Harus Dihindari, tapi Perlu Lapisan Pengamanan Tambahan

Para peneliti menekankan bahwa lonjakan kerentanan ini sebagian besar merupakan kegagalan tata kelola (governance failure) — banyak organisasi mengadopsi tool pengembangan berbasis AI tanpa diimbangi investasi setara pada proses dan perangkat keamanan. Sejumlah startup keamanan seperti CodeRabbit dan Escape.tech kini mengembangkan sistem review berbasis AI yang secara khusus dirancang untuk mengaudit kode hasil vibe coding sebelum benar-benar dirilis ke produksi.

Dengan makin banyaknya organisasi yang mengandalkan AI untuk membangun aplikasi secara cepat, para ahli keamanan siber menegaskan bahwa kecepatan pengembangan tidak boleh mengorbankan proses tinjauan keamanan dasar — sebuah keseimbangan yang tampaknya masih terus dicari industri software hingga kini.