Pengembangan aplikasi menggunakan metode vibe coding, yang mengandalkan kecerdasan buatan untuk menghasilkan kode secara otomatis, kini semakin populer. Namun, kepraktisan ini datang dengan risiko keamanan yang signifikan, mulai dari kebocoran basis data, API yang terekspos, serangan prompt injection yang terorkestrasi dari jarak jauh, hingga pengikisan data AI. Pertanyaan pun muncul: adakah cara agar vibe coding dapat digunakan secara aman di lingkungan produksi?
Shiran Brodie, Head of Growth di Softr, membagikan pandangannya mengenai tantangan dan solusi keamanan dalam vibe coding. Softr, yang awalnya merupakan platform pembuat aplikasi no-code untuk profesional, bisnis kecil, dan perusahaan, dirancang untuk membangun aplikasi atau portal guna mendukung alur kerja internal. Mengingat penanganan data proprietary yang masif, keamanan menjadi prioritas utama. Sejak diluncurkan, Softr telah mengalami berbagai pembaruan, dengan vibe coding kini menjadi salah satu fitur intinya.
Brodie menjelaskan tantangan yang dihadapi perusahaan saat berekspansi ke ranah ini dan solusi yang berhasil mengatasi kendala tersebut. Ia menyoroti pendekatan hibrida yang kini diadopsi oleh platform pengembangan aplikasi seperti Softr, yaitu melapisi fitur vibe coding di atas infrastruktur keamanan yang sudah ada, seperti manajemen basis data bawaan, kontrol akses, dan visibilitas pengembang. Sistem keamanan hibrida ini dirancang untuk menjaga integritas data dan fungsionalitas aplikasi.
Kemudahan yang ditawarkan vibe coding justru menjadikannya target empuk bagi penyerang. Sebuah riset oleh Escape DAST pada tahun 2025 terhadap 5.600 aplikasi vibe-coded dari platform seperti Loveable, Replit, Base44, dan Bolt menemukan lebih dari 2.000 aplikasi memiliki masalah keamanan, termasuk 2.038 kerentanan kritis dan lebih dari 400 kredensial yang terekspos. “Masalah utamanya adalah platform ini menghasilkan kode mentah dari awal,” ujar Brodie. Simplisitas yang menjadi daya tarik vibe coding juga menjadi akar masalah keamanan, karena dapat menyembunyikan kompleksitas teknis yang tidak disadari oleh pengguna non-teknis.
Penelitian lain dari Georgia Tech pada tahun 2025 meluncurkan Vibe Security Radar, yang melacak kerentanan pada platform vibe coding. Dari lebih dari 40.000 advis keamanan yang dipindai, ditemukan 43 kerentanan kritis di delapan platform vibe coding yang menyebabkan injeksi perintah, server-side request forgery, dan bypass otentikasi. Bahkan pada akhir tahun 2026, analis keamanan menemukan kebocoran API besar-besaran dari Meta-owned Moltbook dan komunitas Hugging Face, yang sebagian besar disebabkan oleh kode yang dihasilkan AI yang kurang aman dalam melindungi kunci API pribadi.
Menurut Brodie, akar masalahnya adalah terlalu banyak infrastruktur inti yang diserahkan pada generasi AI, termasuk bagian krusial seperti integrasi pihak ketiga dan sistem manajemen izin. “Alih-alih membiarkan model AI menghasilkan setiap aplikasi baru dari nol, Softr mempertahankan infrastruktur backend, hosting, integrasi, dan manajemen izin yang sudah dikodekan sebelumnya,” jelas Brodie. Fitur vibe coding di Softr berfungsi untuk menambah fleksibilitas desain dan otomatisasi alur kerja yang lebih cerdas, sementara sistem inti tetap aman.
Pendekatan ini dikenal sebagai visual scaffolding. Platform lain seperti Framer dengan ekstensi Workshop berbasis AI, dan FlutterFlow yang memungkinkan pembuatan halaman dan komponen dengan batasan keamanan menggunakan AI, juga mengadopsi model serupa. Brodie menekankan bahwa elemen vibe-coded di Softr diisolasi dalam blok komponen spesifik yang membatasi kode kustom untuk beroperasi dalam infrastruktur yang aman, bukan sekadar iframe.
Masalah shadow AI, analogi era AI dari shadow IT, juga menjadi perhatian. Ketika karyawan menggunakan platform AI untuk membangun aplikasi dengan data perusahaan tanpa persetujuan IT, hal ini menimbulkan risiko tata kelola data dan keamanan siber. Platform AI coding seringkali memberikan batas yang luas bahkan pada akun pribadi, memudahkan karyawan untuk membangun aplikasi dengan data perusahaan tanpa sistem persetujuan terpusat. “Tidak ada insentif untuk beroperasi dalam batasan perusahaan,” kata Brodie. Bahkan ketika karyawan melaporkan aplikasi vibe-coded mereka, tim IT harus menangani kode yang dihasilkan dengan buruk, yang mungkin tidak lolos audit keamanan.
Riset RedAccess pada awal tahun 2026 terhadap lebih dari 380.000 aplikasi vibe-coded menemukan lebih dari 5.000 aplikasi dapat diakses publik di internet, dan 2.000 di antaranya secara aktif membocorkan data perusahaan, termasuk informasi keuangan dan medis sensitif pelanggan. Solusinya tidak hanya memperbaiki praktik pengkodean pada LLM atau alat vibe coding, tetapi juga implementasi kontrol akses yang lebih baik dan peningkatan visibilitas bagi administrator sistem.
Model Context Protocol (MCP) dari Anthropic, meskipun populer dan gratis, juga menimbulkan masalah keamanan karena mewarisi struktur izin dari aplikasi atau basis data yang terhubung. Softr mengatasi ini dengan sistem manajemen basis datanya sendiri yang mengontrol akses MCP. Sebagian besar platform vibe coding tidak memiliki lapisan izin yang memadai, membuat data lebih rentan terhadap serangan. Softr menawarkan lebih dari 60 integrasi siap pakai yang dibangun dengan standar keamanan yang ketat, serta opsi koneksi ke Zapier atau Make untuk otomatisasi yang lebih aman.
Kebutuhan keamanan bervariasi antara bisnis kecil dan perusahaan besar. Bisnis kecil mungkin puas dengan manajemen izin dasar, sementara perusahaan besar memerlukan kepatuhan GDPR dan SOC II, kontrol lokasi pusat data, serta otentikasi multi-faktor dan single sign-on. Platform seperti Retool dan WaveMaker juga menawarkan kontrol keamanan yang ketat untuk menarik klien perusahaan. “Tidak ada organisasi yang ingin mempekerjakan atau melatih lebih banyak pengembang hanya untuk mengamankan satu alat internal,” ujar Brodie. Platform no-code terus berinovasi untuk menawarkan fleksibilitas yang lebih besar tanpa mengorbankan keamanan.
