Costruiamo la piattaforma in modo che tutto sia bloccato per impostazione predefinita. Il server creato dal vostro agente IA è invisibile da Internet. Per impostazione predefinita, solo voi avete accesso alla vostra app. Le chiavi vengono rilasciate con permessi limitati. Rimanete i proprietari dei vostri dati e decidete voi stessi chi può vedere cosa.
Un solo passaggio blocca il 99% dei tentativi di furto dell'account. Si attiva in un minuto.
Apre tutto ciò a cui avete accesso. Non inseritela mai nel codice, non condividetela mai nelle chat.
Significa accesso completo da Internet senza login. Non attivatela se non ne comprendete le conseguenze.
Nel lavoro con la piattaforma sono coinvolte tre parti. Ognuna ha la propria area. Questo aiuta a chiarire cosa ci assumiamo noi e cosa dipende da voi.
È un servizio di terze parti. Il codice generato da qualsiasi IA vale la pena verificarlo: è una prassi comune del settore, non una peculiarità di Vibecode.
Funziona senza il vostro intervento e vi protegge per impostazione predefinita.
Per impostazione predefinita, ogni server si avvia in modalità non pubblica: tutte le porte sono chiuse, non c'è accesso dall'esterno. Solo chi ha ricevuto l'accesso può raggiungere il server, e solo tramite un tunnel cifrato.
Per impostazione predefinita, ogni app è accessibile solo al proprietario. L'estensione dell'accesso è graduale: dipendenti, reparto, tutto l'account Bitrix24. Ogni modifica viene registrata.
I dati sono protetti sia durante la trasmissione su un canale sicuro, sia durante la conservazione. Le chiavi per i servizi di terze parti vengono conservate in forma cifrata.
I server Vibecode funzionano su Bitrix24 Cloud. Vibecode fa parte dell'ecosistema Bitrix24.
L'accesso è progettato in modo che i dati segreti della sessione non arrivino mai al browser del visitatore. I tentativi di impersonare qualcun altro vengono bloccati già al punto di ingresso.
Potete limitare i permessi, impostare una data di scadenza, attivare la modalità di sola lettura (in cui non si può modificare o eliminare nulla) e revocare una chiave in qualsiasi momento.
Per permettere a un agente IA di iniziare a costruire un'app per voi, gli rilasciate la chiave unica di Vibecode e la passate a uno strumento esterno. In pratica questa chiave è il pass principale per tutto ciò a cui avete accesso. Chi possiede la chiave controlla l'accesso. Trattatela con più cura di una password normale.
Una chiave rubata significa accesso ai vostri dati. Attraverso di essa un malintenzionato può effettuare richieste IA e consumare il vostro saldo, a volte prima che ve ne rendiate conto.
Revocatela nell'interfaccia, create una nuova chiave, aggiornate le app che la utilizzano e controllate il registro delle richieste per individuare indirizzi sconosciuti.
Sei semplici azioni. Non richiede competenze di programmazione.
La maggior parte degli account viene persa non per falle nelle piattaforme, ma per password deboli e credenziali rubate. Partiamo da qui.
Questa è la regola più importante del vibe coding, ed ecco perché.
Gli strumenti IA sono servizi di terze parti. Prima di inserire qualcosa in un prompt, pensate a cosa state effettivamente inviando.
Buona notizia per chi non sa leggere il codice: puoi affidare la revisione a un'IA. Cattiva notizia: non puoi affidarla allo stesso agente che ha scritto l'app - tende a «giustificare» il proprio lavoro e può affermare in modo convincente che tutto va bene anche quando non è così.
Se non sei sicuro, è sempre meglio affidare l'audit di sicurezza dell'app a uno specialista di sicurezza informatica o a un'azienda che offre questo tipo di servizi.
Quando l'app è pronta, decidi chi deve utilizzarla e imposta l'accesso secondo il principio «non più di quanto serve».
Hai intenzione di pubblicare l'app in un catalogo o di farla usare ad altri? Allora ne diventi l'autore e devi allegare i tuoi termini di utilizzo e la tua informativa sulla privacy, conformi alla normativa applicabile, in modo che nessuno possa iniziare a usare l'app senza accettare le condizioni.
La modalità di accesso più aperta si chiama «Pubblica». Prima di attivarla, è importante capire esattamente cosa succede.
Il server non passa mai alla modalità pubblica da solo: solo dopo la vostra conferma esplicita, e ogni modifica di questo tipo viene registrata nel log.
Attivate «Pubblica» solo quando è davvero necessario, ad esempio per un modulo o una landing page accessibile a tutti, senza dati sensibili e senza accesso in scrittura al vostro account Bitrix24. In caso di dubbio, non attivatela. Aprire l'accesso più tardi è sempre più semplice che gestire le conseguenze di una fuga di dati.
Queste cose riguardano qualsiasi strumento IA, incluso Vibecode. Senza di esse non si va avanti.
Qualunque cosa faccia, conta come tue azioni. Se, per permessi troppo ampi o una richiesta poco chiara, l'agente fa qualcosa di indesiderato, sei tu il responsabile. Per questo — permessi al minimo, controllo nelle tue mani.
Un malintenzionato può nascondere un comando all'interno di una pagina, un documento o un'email che l'IA legge. Si chiama prompt injection: il modello vede un'istruzione «esterna» e a volte la esegue. La difesa è semplice — dai all'agente il minimo dei permessi e non collegare fonti esterne inutili.
Il testo e il codice generati possono non corrispondere ai fatti — l'IA può «inventare» una funzione o sbagliare la logica. Verifica il risultato e non affidare all'IA da sola decisioni importanti con conseguenze legali o finanziarie — l'ultima parola resta a una persona.
Il modello integrato della piattaforma BitrixGPT funziona nel nostro perimetro e non usa i tuoi dati per il proprio addestramento. I tuoi prompt vengono elaborati solo per rispondere alla richiesta specifica e non entrano nel set di addestramento.
Se collegate servizi IA di terze parti tramite una vostra chiave (BYOK), la policy di quel servizio è responsabilità del provider. Vale la pena leggere le condizioni d'uso direttamente presso il servizio specifico.
Alcuni rischi non si eliminano con un'impostazione, ma con l'attenzione: cerchiamo di aiutarvi a mantenerla.
Le azioni rischiose richiedono una conferma. Attivare la modalità «Pubblica», rilasciare una nuova chiave con permessi ampi, modificare le impostazioni dell'accesso a due fattori: in ogni caso vi mostriamo esattamente cosa accadrà e vi chiediamo di confermare.
Cerchiamo di avvisarvi via e-mail delle operazioni critiche e dei tentativi di accesso sospetti. Se ricevete un'e-mail su un'azione che non avete compiuto, è un motivo per controllare subito il vostro account e, se necessario, cambiare la password.
Copiateli, seguite i punti e preverrete in anticipo la maggior parte dei problemi.
Il phishing è un tentativo di sottrarre una password o dei dati tramite e-mail e siti falsi. È il metodo di violazione più comune ed efficace, ed è facile da individuare se si conoscono i segnali.
Per esempio, bltrix invece di bitrix, uno zero invece della lettera «O», un trattino in più.
«Urgente», «altrimenti l'accesso verrà bloccato oggi», «restano 5 minuti».
I servizi reali non lo fanno. Aprite il sito manualmente tramite un segnalibro.
File come .exe, .scr o con doppia estensione, ad esempio document.pdf.exe.
In caso di dubbio, non seguite il link dell'e-mail. Aprite il servizio manualmente tramite un segnalibro o una ricerca. Confermate una richiesta di denaro o dati tramite un altro canale, ad esempio una telefonata o una chat di lavoro.
Senza gergo tecnico. Se qualcosa nella pagina non è chiaro, probabilmente la spiegazione è qui.
Accesso in due passaggi: password più codice temporaneo.
Il pass principale che assegnate agli agenti IA. Apre l'accesso a tutto ciò a cui avete accesso voi.
Cosa esattamente è consentito al pass, ad esempio solo leggere il CRM.
Un comando nascosto nel testo che può ingannare l'IA.
«Usa la tua chiave»: utilizzo della propria chiave personale per un servizio IA di terze parti.
Chi decide quali dati sulle persone raccogliere e perché (nel caso dei vostri clienti, siete voi).
Server Vibecode senza un indirizzo pubblico su Internet: chiusi per impostazione predefinita, accessibili solo tramite un tunnel cifrato.
Accesso all'app da Internet senza login, per qualsiasi visitatore.
Un piano semplice e rapido per tre casi.
Cambiate la password, attivate la 2FA, revocate le chiavi sospette e uscite da tutte le sessioni. Poi segnalatelo al supporto tramite il modulo di feedback. Prima lo fate, meglio è.
Accesso eccessivo, comportamento strano, una fattura inaspettata per le richieste IA: restringete la politica di accesso o passate temporaneamente l'app alla modalità di sola lettura, revocate i permessi superflui dall'agente e dalle chiavi e controllate il registro degli accessi.
Segnalatecelo tempestivamente tramite il modulo di feedback nel vostro account. Non divulgate pubblicamente la vulnerabilità finché non viene risolta: da parte nostra cercheremo di rispondere prontamente.
Per assistenza, scriveteci tramite il modulo di feedback nel vostro account: è il canale più rapido.