AI-ийн бичсэн код нууц түлхүүрүүдийг хүнийхээс 2 дахин их алдаж буй нь илэрлээ

Сүүлийн хоёр жилд Cursor, Claude Code, GitHub Copilot зэрэг хиймэл оюунд суурилсан хөгжүүлэлтийн хэрэгслүүд хөгжүүлэгч бүрийн өдөр тутмын салшгүй зэвсэг болсон билээ. Бидний өмнө нь хэдэн өдөр зарцуулдаг байсан feature, bug fix-ийг AI агентууд хэдхэн минутын дотор шийдэж, хөгжүүлэлтийн хурдыг урьд хожид байгаагүй өндөр түвшинд хүргэж байна. Гэвч энэхүү галзуу хурдны ард кибер аюулгүй байдлын асар том ангал нуугдаж буйг харуулсан түгшүүрт судалгаа дөнгөж сая цацагдлаа.

Кибер аюулгүй байдлын чиглэлээр тэргүүлэгч GitGuardian байгууллагаас гаргасан “2026 State of Secrets Sprawl” тайлангаар хиймэл оюуны тусламжтай үүсгэгдсэн (AI-assisted) commit-ууд API түлхүүр, нэвтрэх токен, нууц үг зэрэг эмзэг өгөгдлийг жирийн инженерүүдийн бичсэн кодоос даруй 2 дахин их хувиар нийтийн сүлжээнд ил задгай цацаж байгааг илрүүлжээ.

Сэтгэл түгшээм бодит статистик

GitGuardian нь GitHub дээр хийгдэж буй тэрбум гаруй commit-уудыг тасралтгүй шинжилж, эмзэг мэдээллийн алдагдлыг хянадаг систем юм. Тэдний сүүлийн тайланд дурдсан тоон баримтууд хөгжүүлэгч бүрийн анхаарлыг татахаар байна:

28.65 сая шинэ нууц түлхүүр: Нэг жилийн дотор олон нийтэд нээлттэй GitHub репозиторуудаас 28.65 сая ширхэг hardcoded secret илэрсэн нь өмнөх оноос 34%-иар өссөн үзүүлэлт юм.
AI сервисийн credential-уудын тэсрэлт: Бүх төрлийн түлхүүрүүдээс хамгийн өндөр хурдаар задарч буй нь AI платформуудын (OpenAI, Anthropic, Hugging Face, Cohere) API түлхүүрүүд бөгөөд эдгээрийн алдагдал 81%-иар огцом өсжээ.
Хүчинтэй хэвээр үлддэг "үхдэл" түлхүүрүүд: Ил гарсан нууц түлхүүрүүдийг компаниуд тэр бүр сольж (rotate хийж) амждаггүй. 2022 онд нийтэд ил болсон түлхүүрүүдийн 64% нь өнөөг хүртэл идэвхтэй, ашиглагдах боломжтой хэвээр байгааг уг судалгаа харууллаа.

Яагаад AI агентууд түлхүүрүүдийг ингэж их алдаад байна вэ?

Энэ нь зөвхөн хөгжүүлэгчийн хайхрамжгүй байдлаас шалтгаалаагүй, харин өнөөгийн LLM болон агент системүүдийн ажиллах зарчимтай шууд холбоотой юм.

1. "Ажиллаж л байвал болоо" синдром

AI агентуудын гол даалгавар бол өгөгдсөн тестийг давуулах эсвэл программыг алдаагүй ажиллуулах явдал байдаг. Хэрэв API дуудах үед authorization алдаа гарвал агент орчны хувьсагч (environment variable) эсвэл .env файл руу аюулгүй дамжуулах гэж оролдохын оронд шууд тухайн код дотроо жинхэнэ API токенийг хатуу бичиж (hardcoding), түр туршилтын script үүсгэх тохиолдол элбэг байдаг.

2. Автономит горим ба "git add ." аюул

Орчин үеийн терминал дээр ажилладаг автономит кодчлогч агентууд (жишээ нь Claude Code, SWE-agent г.м.) ажлаа дуусгаад өөрөө commit хийж, бүр Pull Request хүртэл автоматаар нээдэг. Ингэхдээ тэд шаардлагатай тестийн тохиргоо, түр хувийн файлуудыг .gitignore-д оруулалгүй орхиж, git add . хийн commit-д хавсаргачихдаг байна.

3. Vibe Coding-ийн урхи

Хөгжүүлэгчид AI-ийн бичсэн хэдэн зуун мөртэй diff-ийг мөр бүрээр нь нягтлан үзэхээс залхуурч, "тест давсан л бол OK" гэсэн хандлагаар шууд нэгтгэж (merge хийж) байна. Үүний уршгаар туршилтын файлд үлдсэн credential-ууд production болон public branch рүү төвөггүй нэвчиж байна.

4. Model Context Protocol (MCP) тохиргооны эмх замбараагүй байдал

Сүүлийн үед дэлгэрч буй MCP серверүүдийг тохируулахдаа хөгжүүлэгчид төрөл бүрийн интеграцийн түлхүүрийг локал JSON тохиргооны файлуудад хадгалдаг. Агентууд төслийн контекстийг бүхэлд нь унших үедээ эдгээр тохиргооны файлуудыг өөрчилж, санамсаргүйгээр repo руу push хийх тохиолдол эрс нэмэгджээ.

Хөгжүүлэгч, багууд юу анхаарах ёстой вэ?

Энэхүү тайлан нь AI хэрэгслүүдийг ашиглахаа боль гэсэн үг биш, харин хөгжүүлэлтийн аюулгүй байдлын соёлоо (DevSecOps) даруй шинэчлэх цаг болсныг илтгэж байна.

Push Protection болон Pre-commit Hook-ийг хэвшүүлэх: Төсөл дээрээ ggshield, TruffleHog эсвэл GitHub-ийн өөрийнх нь Push Protection функцийг заавал идэвхжүүл. Энэ нь түлхүүр агуулсан commit-ийг репозитор руу түлхэгдэхээс нь өмнө блок хийдэг.
Ephemeral (Түр хугацааны) Credential ашиглах: Төсөлдөө хэзээ ч хугацаа нь дуусдаггүй, бүрэн эрхтэй root түлхүүр бүү өг. Богино хугацааны OIDC токен, түр зуурын IAM session-уудыг нэвтрүүл.
AI-д бүрэн эрх бүү өг: Терминал дээр ажиллаж буй агентуудад шууд git push хийх эрх олгохоос зайлсхий. Commit хийгдсэний дараа ядаж нэг удаа git diff HEAD~1 командаар AI юу өөрчилснийг нүдээрээ гүйлгэж харах 30 секундыг өөртөө гаргаж заншаарай.
.gitignore-ийн хатуу дүрэм: .env*, *.pem, *.key, config.local.json зэрэг файлуудыг төслийн эхэнд шууд үл тоомсорлох жагсаалтад оруулж, глобал gitignore дээрээ бататгаарай.

Дүгнэлт

Хиймэл оюун бидний бүтээмжийг гайхалтай нэмэгдүүлж байгаа нь үнэн. Гэвч хурд нэмэгдэхийн хэрээр алдааны тархалт ч мөн адил хурдасдаг. Өнөөдөр чадварлаг инженерийн үнэ цэнэ зөвхөн хурдан код бичүүлэхэд биш, харин AI-ийн гаргаж буй үр дүнг аюулгүй байдал, системийн архитектурын хувьд шүүлтүүрээр оруулж, хариуцлагатай хүргэх чадварт оршиж байна.

Эх сурвалж: The Hacker News, GitGuardian "State of Secrets Sprawl 2026" Report