Как AI‑«vibe coding» приводит к кризису безопасности и технического долга

В open‑source‑проектах эта проблема уже заметна. Мейнтейнеры сообщают о потоке AI‑сгенерированных pull‑request’ов, который перегружает процесс ревью и управления проектами — явление, которое некоторые аналитики называют волной «AI slop».

Риски безопасности: больше уязвимостей в продакшене

Одно из главных опасений связано с безопасностью.

Исследователи фиксируют рост уязвимостей, связанных с AI‑сгенерированным кодом. Например, только в марте 2026 года было зарегистрировано не менее 35 новых записей CVE, напрямую связанных с кодом, созданным AI‑инструментами.

Другие исследования показывают, что AI‑модели часто воспроизводят небезопасные шаблоны из обучающих данных. В тестах разных моделей примерно 45% сгенерированных примеров кода содержали распространённые уязвимости, включая категории из списка OWASP Top 10.

Ещё один риск — утечка секретов. Анализ реальных процессов разработки показал, что коммиты, сделанные с помощью AI‑ассистентов, раскрывали учётные данные более чем вдвое чаще, чем обычные коммиты (3,2% против 1,5%).

В совокупности это увеличивает вероятность того, что уязвимости, неверные конфигурации или утёкшие ключи окажутся в продакшене.

Пример OpenClaw: когда AI‑системы оказываются в открытом интернете

Особенно заметны риски в системах, построенных вокруг AI‑агентов и автоматизации.

Платформа open‑source‑ассистента OpenClaw стала одним из показательных примеров. Исследования безопасности выявили десятки тысяч развернутых экземпляров системы, доступных из интернета, многие из которых уязвимы из‑за ошибок конфигурации или устаревшего ПО.

В одном из сканирований обнаружили более 21 000 публично доступных экземпляров, причём неправильно настроенные системы раскрывали API‑ключи, OAuth‑токены и пароли в открытом виде.

Проблемы обнаружились и в экосистеме расширений. При анализе почти 4000 «skills» в магазине платформы исследователи нашли 283 пакета (около 7,1%) с критическими ошибками обработки учётных данных, которые могли приводить к утечке чувствительной информации.

Эти случаи показывают более широкую проблему: если мощные AI‑агенты разворачиваются без строгих практик безопасности, они могут фактически превратиться в публичные панели управления для интегрированных систем.

Почему инженеров беспокоят неподготовленные пользователи

Многие разработчики подчёркивают: проблема не только в инструментах, а в том, кто и как ими пользуется.

Традиционно разработка предполагает, что человек, пишущий код, понимает архитектуру системы, зависимости и границы безопасности. «Vibe coding» нарушает это предположение.

Если пользователь не умеет читать и анализировать сгенерированный код, он всё равно может развернуть работающий сервис — но при этом может не заметить:

• скрытые уязвимости
• небезопасные схемы аутентификации
• опасные цепочки зависимостей
• редкие ошибки в крайних сценариях

На практике такие системы часто работают на демонстрациях, но ломаются в реальной эксплуатации. Инженеры иногда называют это «happy‑path software» — приложения, которые работают только в идеальных условиях, потому что их создатели не могут полноценно оценить логику системы.

Долгосрочная цена: масштабный технический долг

Даже когда AI‑код работает корректно, он может быстро накапливать технический долг.

AI резко увеличивает объём кода, создаваемого одним разработчиком. В результате организации получают более крупные и сложные кодовые базы. Если в них много повторений, несовместимых архитектурных решений или слабой документации, любое изменение в будущем становится дороже и рискованнее.

Исследователи безопасности предупреждают, что это приводит к накоплению «security debt» — уязвимости появляются быстрее, чем команды успевают их обнаруживать и исправлять.

Иными словами, прирост продуктивности ощущается сразу, а расходы на поддержку проявляются позже.

Похожая проблема начинает появляться и в науке

Та же динамика — дешёвая генерация и дорогая проверка — начинает проявляться в научных исследованиях.

ИИ всё чаще используется для поиска литературы, генерации гипотез, написания статей и помощи в рецензировании.

Иногда результаты выглядят многообещающими. Эксперименты показывают, что языковые модели могут генерировать правдоподобные и иногда даже новые научные гипотезы.

Но крупные исследования показывают и ограничения: гипотезы, созданные AI, часто показывают худшие результаты при экспериментальной проверке, чем идеи, предложенные людьми.

Редакторы и исследователи начинают обсуждать риск «AI‑slop» и в академической среде. В редакционной статье журнала Science в 2026 году предупреждается, что чрезмерное или скрытое использование AI при подготовке рукописей может подорвать надёжность научной публикационной системы, если контроль не будет усиливаться.

Настоящее узкое место — человеческое суждение

И в разработке ПО, и в науке возникает одна и та же фундаментальная проблема.

AI резко снижает стоимость создания результатов — будь то код, статьи, гипотезы или проекты. Но стоимость оценки этих результатов по‑прежнему зависит от ограниченного ресурса — экспертного человеческого анализа.

Когда генерация становится почти бесплатной, а проверка остаётся редкой и дорогой, система заполняется правдоподобной, но ненадёжной работой.

В программировании это проявляется как небезопасный код и хрупкие системы. В науке — как поток гипотез и рукописей, которые сложнее тщательно проверить.

Главная задача для компаний, исследовательских институтов и сообществ — не просто внедрить AI‑инструменты, а выстроить процессы проверки, безопасности и управления, чтобы поток результатов не превращался в «vibe slop».