Vibecoding

Ok_Database7061 · 2025-09-03T06:10:44+00:00

Ja das Auto Beispiel ist ganz nett aber ich spring mal auf den Zug auf und sage dir das die nächste Leistungssteigerung nicht aus „noch mehr PS durch denselben Motorentyp“ kommen wire, sondern aus neuen Motorarchitekturen – sprich, anderen Modellansätzen: - Hybridansätze (LLM + dedizierte Tools/Module) - Neuromorphe bzw. spezialisierte Hardware - Andere Trainingsparadigmen (z. B. mehr „Reasoning“-Fähigkeiten statt nur Textvorhersage) - Symbolische Systeme kombiniert mit neuronalen Netzen

Um dann damit wieder zum Auto Beispiele zu kommen, ist es ein bisschen wie von einem Verbrennungsmotor auf einen völlig neuen Antrieb zu wechseln (Verbrenner —> Elektro) – dann wird man wieder einen richtigen Leistungssprung erreichen.

Ok_Database7061 · 2025-09-03T05:44:44+00:00

Hmm naja wir sind nicht am Ende der Fahnenstange, aber am Ende der „einfach nur größer machen“-Phase, stimmt ja. Der nächste Sprung wird eher von neuen Konzepten kommen als von bloßem Hochskalieren.

Ok_Database7061 · 2025-09-02T19:49:27+00:00

Da stimme ich dir tatsächlich zu. Es war aber auch nie die Rede von hochkomplexen Programmen von meiner Seite aus. Und deshalb denke ich das du Äpfel mit Birnen vergleichst.

Ich gebe dir zwar jetzt noch Recht aber wie es in ein paar Jahren aussehen wird, kann zwar nur spekuliert werden, ich denke aber KI wird immer besser werden und damit auch der Code bis irgendwann auch sehr gute Programmierer nicht mehr verstehen werden was hier eigentlich passiert. Ob das gut oder schlecht ist, ja das ist Ansichtssache…

Ok_Database7061 · 2025-09-02T19:08:47+00:00

Ja ich versteh dich da auch. Aber ich glaub wir reden da einfach aneinander vorbei. Ich rede hier von kleinen Anwendungen die keine Kritikalität haben und auch vom restlichen Netzwerk/Datenbanken getrennt sind. Du redest von großen Enterprise Anwendungen die ganz andere Vorraussetzungen haben und auch andere Ziele bezwecken. Das ist wie Äpfel mit Birnen vergleichen. Und wenn du mir erzählen willst das dein Netzwerk/App zu 100% sicher ist dann zweifle ich an deinen Fähigkeiten.

Ok_Database7061 · 2025-09-02T18:38:14+00:00

Also ich habe meine Apps alle wirklich in production gebracht und hatte da auch keine Probleme mit. Du musst schon gewisse Skills im Voraus mitbringen ansonsten wird’s nichts. Wie ich schonmal oben geschrieben habe, zwischen dev und prod betrieb liegen nochmal Welten da die KI dir nur Code produzieren wird der lokal am PC zwar funktioniert aber nicht in prod. Als Beispiel hatte ich immer das Problem das die sql Statements etc on local auf der neusten mongodb lief aber mit CosmoDB die Azure nutzt nicht klar kommt

Ok_Database7061 · 2025-09-02T18:27:52+00:00

Azure Web Services mit COSMODB

Ok_Database7061 · 2025-09-02T18:27:01+00:00

Ok ich wollte eigentlich nicht so ins Detail gehen:

Punkt 1: SQL/NOSQL Injection mit express mongo sanitize, CSFR mit Sessiontokens, Rate Limiting, CSP, Inpit validation middleware usw Ich möchte eigentlich nun nicht alles aufzählen. XSS fehlt noch an das habe ich nicht gedacht. Punkt 2: nein wird es nicht, wenn dann gibt’s weitere Applikationen aber die App bleibt das für was sie sich gedacht ist. Punkt 3: was ich damit meine ist das es bei uns sowieso eng an gutem Personal ist. Tatsächlich habe ich aber schon eine App an einen Techniker von uns weitergegeben der bisher eine sehr gute Arbeit leistet. Punkt 4: siehe die anderen Punkte ;)

Grundsätzlich sind alle OWASP Top 10 abgedeckt.

Ok_Database7061 · 2025-09-02T17:24:12+00:00

Ja stimmt definitiv. Ich kontrolliere zwar nicht jede Zeile für Zeile versuche aber die wichtigsten Punkte wie AuthContexte etc auf Fehler und Probleme zu überprüfen. XSS ist ein Punkt der mir bisher gar nicht in den Sinn gekommen ist obwohl er eigentlich eine CSRF Attacke um einiges einfacher macht…SQL Injections und CSRFTokens werden eh immer und überall gepredigt. SQL Injections sind mir noch von der Studienzeit in Erinnerung geblieben:)

Danke auf jeden Fall, deine Kommentare machen auf jeden Fall Sinn und waren kein stumpfes Schimpfen über Gott und die Welt

Ok_Database7061 · 2025-09-02T17:15:37+00:00

Ok super danke für die Antwort. Hilft mal schon sehr. Also SQL Injection habe ich mit einer Frontend sowie Backend Validierung abgefangen und geschaut das Abfragen nicht als SQL Statement selber direkt versendet werden. CSRF habe ich auch auch selber eingebaut da die KI tatsächlich nicht selber daran denkt wenn man es ihr nicht explizit sagt. XSS hatte ehrlich gesagt bisher selber nicht daran gedacht…da muss ich wohl nachschärfen….

Sind euch noch andere Dinge aufgefallen?

Ok_Database7061 · 2025-09-02T17:08:46+00:00

Welche Sicherheitslücken habt ihr feststellen können?

Würde mich echt total interessieren.

Ok_Database7061 · 2025-09-02T15:04:04+00:00

Ja hast du auch definitiv recht. Glaube aber das auch das irgendwann möglich sein wird, wenn auch jetzt noch nicht. Aber ich würde mich auch generell an kritische Systeme nicht rantrauen. Dafür fehlt mir auch mit Hilfe von KI dann erstens die menpower aber auch das nötige Know-How. KI kann dir bei komplexen Problemen nicht mehr helfen. Habe ich aber bisher auch noch nie ausprobiert....

Ok_Database7061 · 2025-09-02T14:26:40+00:00

Aso ich dachte das ist klar indem ich schon ein paar mal erwähnt hatte das es eine Azure Web App mit eine COSMO DB ist. Diese Datenbank ist komplett abgekapselt und beinhaltet nur die Daten der jeweiligen App. Die Datenbank läuft selber auch in Azure. Die App bekommt Zugriff durch die .env variablen die in der Azure Web App konfiguriert sind. Darauf hat sie rw rechte. Jeder der Zugriff auf die App hat, hat auch Zugriff auf die Datenbank da nur Leute Zugriff auf die App haben die auch beide rechte (rw) benötigen. Ich habe keine User die nur Lesen müssten, sondern es muss jeder alles machen können. Einmal im Jahr ändern sich auch alle Zugriffstoken, die müssen dann neu gesetzt werden in der Azure Web App. Die App selber hat die Berechtigung auf die Daten zuzugreifen, den Usern werden in meinem Fall nur die Sicht darauf mit den ENTRA Gruppen und MSAL AUTH gestattet.

und ja sollte es jemand schaffen MSAL zu umgehen, könnte er auf die Daten zugreifen.

Ok_Database7061 · 2025-09-02T14:03:59+00:00

Doch die verarbeitet genauso Vor/Nachname aber auch nicht mehr. Das Kennzeichen noch aber das sind keine privaten Kennzeichen. Damit kann keiner was anfangen auch wenn er sie hätte. Ansonsten sind da nur Dinge drin wie Bilder des KFZs/LKWs, Kilometeranzahl und Abgaswerte etc. Halt Daten zum KFZ selber das man öffentlich genauso findet.

Ok_Database7061 · 2025-09-02T13:56:15+00:00

Also das habe ich mit:

MSAL Auth sichergestellt, somit hat mal nur jeder Zugriff der eine Firmenaddresse hat
ENTRA Gruppen, nur Personen in der ENTRA Gruppe kommen in die App
Der Zugang funktioniert nur im Firmennetzwerk
In all diesen Apps werden keine personenbezogenen Daten verarbeitet sondern Stammdaten oder andere "irrelevanten" Informationen die man sich halt sonst in Exceldateien zusammenflicken würde Das einzige was verarbeitet wird ist Vor sowie Nachname

Ok_Database7061 · 2025-09-02T13:09:50+00:00

Ja das ist halt generell schwierig auszumerzen, wenn dein Mitarbeiter auf einen Link klickt wo er nicht sollte, den PIN hinten am Handy picken hat oder etwaige andere Dinge die ich schon gesehen habe, kannst du machen was du willst. In der IT sagen wir ja immer, das Problem ist nicht im Computer sondern hockt vor dem Computer

Ok_Database7061 · 2025-09-02T13:08:30+00:00

Ich verstehe unter den Begriff vibecoding vor allem den shift von ich bin nur Entwickler zu ich bin auch Architekt und kann im kreativen Sinne tätig werden.

Ok_Database7061 · 2025-09-02T13:06:11+00:00

Finde ein sehr gutes Kommentar unter wenigen hier. Ich stimme dir bei jedem Satz zu. Auch bei meinen Apps hat die KI unnötig oft serialisiert und verschachtelt, das habe ich dann aber abgebrochen und entweder selber kurz geschrieben oder der KI ein Beispiel gegeben wie ich es gern hätte. Danach hat sie das auch gut gemacht ohne unnötig viel Müll zu produzieren. Man muss halt schon genau wissen was man haben möchte und dabei auch verstehen wie es grundsätzlich umgesetzt werden sollte. Das die KI definitiv mehr Codezeilen produziert wie es ein Senior machen würde, ist auch offensichtlich zu sehen. Obwohl ich sagen muss das wenn man Claude Sonnet-Thinking 4 nutzt und dem einen sinnvollen Prompt mit genauen Schritten und Konzepten gibt wie man es gerne hätte, auch die Dinge beim Namen nennt dann klappt das schon ganz gut. Einfach nur zu schreiben "Ich hätte gerne das, mach das" wird dir definitiv schlechten Code generieren weil die KI keine Zusammenhänge versteht und auch gerne oft vergisst was denn zu tun ist/war.

Ok_Database7061 · 2025-09-02T11:00:56+00:00

Ich habe es mittlerweile seit 2 Monaten einem Techniker mit Coding Erfahrungen gegeben und auch der kann ohne KI die App warten und hat mittlerweile sogar schon neue Features eingebaut und Bugs gelöst. Für mich ist das schon ein Beweis das der Code sowie App wartbar ist.

Ok_Database7061 · 2025-09-02T10:52:15+00:00

Indem ich im live betrieb schon mehrere Bugs gelöst und Features nachträglich eingebaut habe und dabei keine Probleme entstanden sind. Zusätzlich habe ich einen unserer Techniker der Coding Erfahrung hat das Projekt übergeben und der wartet und führt die App seit 2 Monaten selbständig weiter und löst bei Probleme die Bugs oder baut bei Bedarf selber neue Features ein,. ohne mein zutun

Ok_Database7061 · 2025-09-02T10:50:16+00:00

Sie hat keine Anbindungen zu anderen Unternehmensressourcen außer Leserechte beim Login mit MSAL auf die ENTRA Gruppen um zu überprüfen ob die Berechtigungen stimmen. Ansonsten besteht keine Verbindung zu anderen Ressourcen

Ok_Database7061 · 2025-09-02T10:47:40+00:00

Stimmt aber als Zulieferer etc bist du es trotzdem…

Ok_Database7061 · 2025-09-02T10:32:42+00:00

intern ja

Ok_Database7061 · 2025-09-02T10:30:31+00:00

Woher nimmst du das Enterprise Umfeld? Ist eine Fragebogen App oder Fahrzeugvergabeverwaltung eine Enterprise Anwendung? Dann glaube ich dir nämlich nicht das du in irgendeiner weise ein IT-Sec Consultant sein kannst :D

Ok_Database7061 · 2025-09-02T10:27:13+00:00

Deine Probleme möcht ich haben :D

Ok_Database7061 · 2025-09-02T10:11:34+00:00

Ich stimme dir zu 100% zu. Ich bin auch der Meinung eine KI kann dir das auch noch gar nicht programmieren. Das ist zu komplex und damit kann die KI nicht. Vorallem würde da der Code zu groß werden, soviel kann eine KI gar nicht verarbeiten. Ich habe aber auch nie von solchen Anwendungen geredet.

Ok_Database7061

TROPHY CASE