Vibe-coded apps වල security එක ගැන කතාවක්. මේක “AI එකෙන් app එකක් හදන එක භයානකයි” කියන panic post එකක් නෙවෙයි. ප්රශ්නය මෙහෙමයි: prompt කරලා run වුණාම ඒක secureද කියලා බලන්නේ නැතුව deploy කරනවා නම්, vulnerable apps internet එකට යනවද?කෙටියෙන් කිව්වොත් — ඔව්. දැනටමත් යනවා.Vibe coding කියන්නේ මොකක්ද කියලා දන්නේ නැත්නම්: Cursor, Claude Code, Lovable, Replit, Bolt වගේ tools වලින් “මේක හදපන්” කියලා කියලා, code එක හොඳට කියවලා review කරන්නේ නැතුව, වැඩ කරනකම් prompt කරලා ship කරන style එක. Model එකට ඕනේ “it works.” ඒකට “මේ data එක ownerට විතරක් පේනවද” කියන එක automatically එන්නේ නැහැ.ඒ නිසා නැවත නැවත එන issues:
- Authentication නැති endpoints
- Broken access control (අනිත් userගේ data බලන්න/වෙනස් කරන්න පුළුවන්)
- Frontend එකේ හෝ repo එකේ hardcoded API keys, JWT secrets, DB passwords
- Supabase/Firebase tables වල row-level security නැතිව public
මේක තවම theory එකක් නෙවෙයි.RedAccess කණ්ඩායම Lovable, Replit, Base44, Netlify වගේ platforms වල vibe-coded apps scan කරලා බැලුවා. දහස් ගාණක් apps තියෙනවා authentication එකක් වගේ දෙයක්ම නැතිව. ඒකෙන් 5,000කට වගේ sensitive දේවල් leak වෙනවා — medical records, financials, strategy decks, chatbot transcripts, hospital staffing data වගේ. WIRED සහ Axios ඒ examples කිහිපයක් verify කරලා තියෙනවා.2026 academic audit එකක deployed vibe-coded web apps manually review කරලා බැලුවා. Sample එකේ 90%ක vulnerabilities තිබුණා. වැඩිම category එක broken access control. ඒ apps වලින් තුනෙන් දෙකකට වඩා ඒ issue එක තිබුණා.වෙන scans වලත් එකම ලේසි අඩුපාඩු පේනවා: එකම default JWT secret එක දහස් ගාණක් apps වල reuse වෙන එක, auth නැතුව delete/update කරන්න පුළුවන් APIs, public database tables.Companies ටත් මේක දන්නවා. ඒත් ship කරනවා. Checkmarx 2026 survey එකේ කියන්නේ AI වලින් code ගොඩක් generate කරන teams, අඩුවෙන් use කරන teams වලට වඩා vulnerable code ship කරන එක ගොඩක් වැඩියි කියලා. Delivery pressure එකට known-bad code එකක් deploy කරනවා කියලා කියන අයත් ඉන්නවා.මේක elite hacking කතාවක් නෙවෙයි. පරණ open S3 bucket wave එකට ලංවෙන දෙයක්. Marketing හෝ ops කෙනෙක් internal tool එකක් හදලා real data connect කරලා URL එක web එකේ තියනවා. /api/users එකේ auth නැත්නම් attackerට අලුත් exploit එකක් ඕනේ නැහැ.ඒ කියන්නේ AI use කරලා app හදන හැම කෙනෙක්ම අවුල් කියලා නෙවෙයි. අදහස මෙහෙමයි: “tool එක කිව්වා නේද වැඩ කරනවා කියලා” කියලා ඒක security review එකක් වගේ හිතන එක භයානකයි. Auth, tenancy, secrets බලන human review එක තාම gate එක. Model එක ඒක ඔයා වෙනුවෙන් කරන්නේ නැහැ.Deploy කරන්න කලින් අඩුම ගානේ මේ තුන බලන්න:
- මේ endpoint එකට login නැතුව hit කරන්න පුළුවන්ද?
- User Aට User Bගේ record එක වෙනස් කරන්න පුළුවන්ද?
- API keys / DB passwords source එකේ හෝ browser bundle එකේ තියෙනවද?
ඒ තුන pass උනේ නැත්නම්, app එක “වැඩ කරනවා” විතරයි. Safe නෙවෙයි.
මම ගොරොක්
. 
