Cursor, Copilot, Lovable, Bolt වැනි AI කේත සහයකයන් අද දින වැඩිම ප්රචලිතත්වයට පත්වී ඇත. ත්රිවර්ෂයක් පෙර පූර්ණ-ස්ටැක් යෙදුමක් ලියන්න නොහැකි වූ සංවර්ධකයින් දැන් දින කිහිපයකින් නිෂ්පාදන නිකුත් කරයි. ඒත් මේ පහසුකමට පසුබැසිව සැඟවුණු ආරක්ෂා ගැටළුවක් පවතී.
AI මොඩලයන් මහජන රෙපොසිටරී වලින් ඉගෙන ගනිමින් කේත නිර්මාණය කරයි. ඒ රෙපොසිටරී බොහොමයක් ආරක්ෂා අඩු අංගයන් සමඟ පිරී තිබේ. එම නිසා AI විසින් ලියන කේතයත් ඒ අඩුපාඩු අඩංගු කරයි. අපි 9 ක් ආරක්ෂා ස්කෑනර් භාවිතා කර AI‑නිර්මාණිත කේතය විශ්ලේෂණය කළාම, පහත සඳහන් පැනලයන් සියල්ලම එකවර පෙනී ආවේ.
AI‑නිර්මාණිත කේතයේ සාමාන්ය ආරක්ෂා දෝෂ 5 ක්
- හස්තකාලීන රහස් (Hard‑coded Secrets) – API key, token, password වැනි රහස් සෘජුවම මූලාශ්ර ගොනුවේ ඇතුළත් වේ. AI රහස් පරිසර විචල්යයක (environment variable) ගබඩා කළ යුතු බව නොදනී.
- Firebase වින්යාස (Firebase Config) බිඳවැටීම – apiKey, authDomain, databaseURL වැනි වින්යාස තොරතුරු සෘජුවම කේතයේ ඇතුළත් වේ. Firebase ප්රසිද්ධිය නිසා AI එය සකස් කර, සංවර්ධකයාට ක්රියාත්මක දත්ත ගබඩාවක් ලැබේ.
- ආදාන වලංගු කිරීමේ අඩුව (Missing Input Validation) – ෆෝම් පූරණය, ඊමේල්, අංක ක්ෂේත්ර ආදීවල වැරදි ආකාරයේ දත්ත පිළිගන්නා ලේඛන ලේඛනයක් නොමැත. AI එකම ක්රියාත්මක කේතයක් සපයයි, වලංගු කිරීම ඉල්ලුම් නොකළහොත් එය නොඑකතු කරයි.
- වයිල්ඩ්කාඩ් CORS (Wildcard CORS) – Production API වල
Access‑Control‑Allow‑Origin: *සැකසීම සිදු වේ. AI මෙය දේශීය පරීක්ෂණ සඳහා සුදුසු ලෙස පරිගණක කරයි, නමුත් නිෂ්පාදනයට එය වෙනස් නොකළහොත් සියලුම ඩොමේන වලින් ඇක්සෙස් විය හැක. - අනියම අනුවාද (Unpinned Dependency Versions) –
package.jsonහෝrequirements.txtතුළ^1.2.3වැනි අනුවාද පරාස භාවිතා වේ. AI එය සාමාන්ය පුරුදු ලෙස ගනී, නමුත් එය අනපේක්ෂිත දෝෂ හෝ සදහා ආරක්ෂා පාලනයක් පෙන්වයි.
මෙම ගැටළු තවත් මෘදුකාංග ආරක්ෂා මෙවලම් (Gitleaks, TruffleHog, Semgrep, OSV‑Scanner වැනි) භාවිතා කර සොයාගත හැක. ප්රධාන විසඳුම AI භාවිතය නවත්තීම නොව, කේත ලියුමෙන් පසු ස්වයංක්රීය ආරක්ෂා පරීක්ෂණයක් ඇතුළත් කිරීමයි. AI ලියන කේතය ස්කෑනර් එකක් පරීක්ෂා කර, සංවර්ධකයාට වැදගත් දෝෂ පමණක් පෙන්වා දෙයි.
ශ්රී ලංකාවට ඇති වැදගත්කම
ශ්රී ලංකාවේ තරුණ සංවර්ධකයින් AI කේත සහයකයන් භාවිතා කර ඉක්මනින් MVP (Minimum Viable Product) නිර්මාණය කරනවා. නමුත් ආරක්ෂා දෝෂ හේතුවෙන් දේශීය ව්යාපාර, බැංකු, රජයේ සේවාවන්ට විශාල ආර්ථික හා නාමික අලාභයක් සිදුවිය හැක. ස්වයංක්රීය ආරක්ෂා පරීක්ෂණයක් එක් කිරීමෙන්:
- විදුලි බිල අඩු කර, පරිසර විචල්ය පරිපාලනය පහසු කරයි;
- ස්ථානාන්ත ආරක්ෂා නීති (Data Protection Act) සමඟ සම්පූර්ණ අනුකූලතාවය ලබා දේ;
- දේශීය තාක්ෂණ සමාගම්වලට ආරක්ෂිත නිෂ්පාදන ඉක්මනින් ලොක්කෙහි ගත හැක.
අවසන් වශයෙන්, AI කේත සහයකයන් අපගේ වැඩ කාලය කෙටි කරනවා, නමුත් ඒ සමඟම ආරක්ෂා පරීක්ෂණය අත්හැරීමේ අවදානමක් ඇත. නිසි උපකරණ සහ ක්රියාපටිපාටියක් සමඟ AI භාවිතය තරුණ සංවර්ධකයින්ට නව අවස්ථා ගොඩනැගීමට හොඳම මග වේ.
