⚡ TL;DR (3 Key Takeaways)

Belangrijk: shipping is essentieel voor je security
Belangrijk: risico's is essentieel voor je security
Belangrijk: vibe coding is essentieel voor je security

Shadow Guard Security Team • 8+ jaar ervaring in web security • Laatst geüpdatet: 18 februari 2026

⏱️ 7 min leestijd

We leven in een tijd waarin je met een simpele prompt een complete feature kunt bouwen. Tools zoals Cursor, Lovable en Claude Code zijn revolutionair. Maar sneller bouwen betekent vaak ook sneller fouten maken. Wanneer AI code genereert, staat functionaliteit op nummer 1, maar security bungelt vaak ergens onderaan.

Het gevaar van 'Vibe Coding' zonder vangnet

Vibe coding — het bouwen van software door te itereren met AI — is fantastisch voor de productiviteit. Echter, de AI snapt de context van jouw specifieke beveiligingseisen niet. Het resultaat? Code die werkt, maar die de deur wagenwijd openzet voor kwaadwillenden.

1. Hardcoded Secrets en API Keys

AI-modellen hebben de neiging om 'placeholders' te gebruiken die verdacht veel lijken op werkende code. Soms genereert de AI zelfs code die omgevingsvariabelen omzeilt en keys direct in de client-side code plaatst.

Het risico: Je API keys (Stripe, OpenAI, AWS) belanden in de browser van je gebruikers. Binnen enkele minuten worden ze gescand door bots en misbruikt, met hoge rekeningen tot gevolg.

2. Onveilige Database Queries (SQL Injectie)

Hoewel moderne ORM's veel voorkomen, genereert AI soms nog steeds 'raw' queries of gebruikt het input van gebruikers direct in een database-aanroep zonder validatie.

Het risico: Een aanvaller kan via een zoekveld of URL-parameter commando's uitvoeren op je database, data stelen of zelfs je hele database wissen.

3. Gebrek aan Autorisatie-checks

AI bouwt vaak prachtige API-endpoints (zoals /api/admin/stats), maar 'vergeet' de middleware of checks die controleren of de gebruiker wel de juiste rechten heeft.

Het risico: Elke gebruiker die de URL raadt, krijgt toegang tot gevoelige bedrijfsdata of instellingen.

4. Onveilige Third-party Dependencies

De trainingsdata van AI-modellen loopt vaak achter. De AI kan een library voorstellen die inmiddels een kritiek beveiligingslek bevat (een zogenaamde CVE).

Het risico: Je installeert een 'bom' in je eigen applicatie die aanvallers een ingang geeft via een kwetsbaarheid in een pakket van derden.

5. Blootgestelde Debug Informatie

Om je te helpen bij het ontwikkelen, genereert AI vaak uitgebreide error-logging die direct in de browser wordt getoond.

Het risico: Hackers gebruiken deze errors om de structuur van je database, je serverpaden en je gebruikte versies te achterhalen. Dit is de perfecte roadmap voor een gerichte aanval.

Hoe ship je veilig?

Je hoeft niet te stoppen met AI-tools. Je moet alleen een controleproces toevoegen. Shadow Guard is ontworpen om precies deze 5 risico's (en meer) te detecteren in code die door AI is gebouwd.

Door je site te scannen voordat je hem promoot, voorkom je reputatieschade en dure fouten. Start vandaag met een gratis scan.

Veelgestelde Vragen (FAQ)

Hoe vaak moet ik security scans draaien?

Minimaal maandelijks, of na elke major update. Voor productie: continue monitoring.

Is AI-gegenereerde code veiliger?

Nee, AI code bevat vaak onzichtbare kwetsbaarheden. Altijd scannen voor deployment.

CI/CD Pipeline Security

Veilige Deployment Configuratie

YAML • .github/workflows/deploy.yml

YAML

name: Secure Deploy

on:
  push:
    branches: [main]

jobs:
  security-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      
      - name: Security Scan
        run: npx @shadowguard/cli scan --strict
      
      - name: Dependency Audit
        run: npm audit --audit-level=moderate
      
      - name: Secret Detection
        uses: trufflesecurity/trufflehog@main
        with:
          path: ./
          base: main
      
      - name: SAST Analysis
        uses: github/codeql-action/analyze@v2

  deploy:
    needs: security-check
    runs-on: ubuntu-latest
    environment: production
    steps:
      - name: Deploy to Production
        run: npm run deploy:prod

Pre-Deployment Security Script

Bash • scripts/pre-deploy.sh

Bash

#!/bin/bash
set -e

echo "🔒 Running pre-deployment security checks..."

# Check for secrets
echo "Checking for secrets..."
if grep -r "API_KEY\|SECRET\|PASSWORD" ./src --include="*.ts" --include="*.tsx"; then
  echo "❌ Found potential secrets in code!"
  exit 1
fi

# Run security scan
echo "Running security scan..."
npx @shadowguard/cli scan

# Check dependencies
echo "Auditing dependencies..."
npm audit --audit-level=moderate

# Build application
echo "Building application..."
npm run build

echo "✅ All security checks passed!"

Container Security

Dockerfile Best Practices

Dockerfile

# Multi-stage build for security
FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production

FROM node:20-alpine AS runner
# Run as non-root user
RUN addgroup -g 1001 -S nodejs
RUN adduser -S nextjs -u 1001

WORKDIR /app
COPY --from=builder --chown=nextjs:nodejs /app .

USER nextjs
EXPOSE 3000
ENV PORT 3000

CMD ["npm", "start"]

Monitoring en Alerting

Security Event Monitoring

TypeScript • monitoring.ts

TypeScript

// lib/security/monitoring.ts

interface SecurityEvent {
  type: "auth_failure" | "suspicious_activity" | "rate_limit_exceeded";
  severity: "low" | "medium" | "high" | "critical";
  userId?: string;
  ipAddress: string;
  timestamp: Date;
  details: Record;
}

export class SecurityMonitor {
  async trackEvent(event: SecurityEvent): Promise {
    // Store event
    await this.storeEvent(event);
    
    // Alert if high severity
    if (event.severity === "high" || event.severity === "critical") {
      await this.sendAlert(event);
    }
    
    // Check for patterns
    if (await this.isAttackPattern(event)) {
      await this.triggerDefense(event);
    }
  }
  
  private async isAttackPattern(event: SecurityEvent): Promise {
    // Check for brute force, DDoS, etc.
    const recentEvents = await this.getRecentEvents(event.ipAddress, "1h");
    return recentEvents.length > 10;
  }
}

shipping: 5 Beveiligingsrisico's AI-Code 2026: Wat je MOE...

Meer artikelen

AI security 2026: Kimi 2.5 & OpenAI Swarm Security 2026:...

AI security 2026: GLM-5 & MiniMax 2.5 Security 2026: Chin...

AI security 2026: GPT 5.3 Codex Security 2026: Agentic Co...

Klaar om je site te beveiligen?