Veelvoorkomende problemen in AI-gebouwde applicaties
Kennisbank
Security
We hebben inmiddels genoeg met AI gebouwde applicaties beoordeeld om een patroon te zien: dezelfde soort problemen komen steeds terug. Dat is goed nieuws, want wat voorspelbaar is, is ook te voorkomen. Dit zijn de vijf die we het vaakst tegenkomen.
1. Hardcoded API-sleutels en wachtwoorden in de code
Een AI-model dat een integratie bouwt, zet er soms zonder nadenken een API-sleutel of wachtwoord direct in de code, in plaats van in een aparte, beveiligde configuratie. Werkt prima, totdat die code ergens openbaar terechtkomt, bijvoorbeeld in een publieke code-repository.
2. Ontbrekende of zwakke authenticatie op endpoints
Een applicatie kan een keurig inlogscherm hebben, terwijl losse onderdelen van de achterliggende API zonder enige controle bereikbaar zijn voor wie de juiste link weet te vinden. Dit gebeurt vaak wanneer functionaliteit stap voor stap is toegevoegd zonder dat er telkens opnieuw naar toegang is gekeken.
3. Geen validatie van gebruikersinvoer
Een formulierveld dat alles accepteert wat je erin typt, is een opening voor problemen: van rommelige data tot kwaadaardige invoer die bedoeld is om de achterliggende database te manipuleren. AI-gegenereerde code focust vaak op de happy path, de invoer die je verwacht.
4. Ongecontroleerde afhankelijkheden
Elke applicatie leunt op externe packages en libraries. AI-tools kiezen en installeren deze vaak automatisch, zonder dat iemand controleert of er bekende kwetsbaarheden in zitten of dat ze nog actief onderhouden worden. Eén onopgemerkt verouderd pakket kan de zwakste schakel worden.
5. Code die werkt bij tien gebruikers, maar vastloopt bij duizend
Tijdens het bouwen test je met een handvol gebruikers, vaak alleen jezelf. Dat zegt weinig over hoe de applicatie zich gedraagt zodra honderden of duizenden mensen tegelijk actief zijn. Databasequery’s die prima werken bij weinig data, kunnen drastisch vertragen zodra die hoeveelheid groeit.
Wat deze problemen gemeen hebben
Geen van deze vijf is zichtbaar in een demo. Ze worden pas een probleem onder echte omstandigheden: echte gebruikers, meer data, meer verkeer of iemand met kwade bedoelingen. Daarom is het de moeite waard om ze vóór livegang te laten checken in plaats van erna.
Veelgestelde vragen
Wat zijn de meest voorkomende problemen in AI-gebouwde applicaties?
Hardcoded API-sleutels en wachtwoorden, ontbrekende of zwakke authenticatie op endpoints, geen validatie van gebruikersinvoer, ongecontroleerde afhankelijkheden en code die niet schaalt.
Waarom zijn hardcoded API-sleutels een risico?
Omdat ze direct in de code staan. Komt die code openbaar terecht, bijvoorbeeld in een publieke repository, dan kan iedereen de sleutel gebruiken. Sleutels horen in een aparte, beveiligde configuratie.
Waarom ontbreekt invoervalidatie zo vaak in AI-gegenereerde code?
AI-code focust op de happy path: de invoer die je verwacht. Wat er gebeurt als iemand iets anders instuurt, krijgt vaak geen aandacht.
Waarom zie ik deze problemen niet tijdens een demo?
Omdat ze pas zichtbaar worden onder echte omstandigheden: echte gebruikers, meer data, meer verkeer of iemand met kwade bedoelingen.
Hoe voorkom ik deze problemen?
Door je applicatie vóór livegang te laten controleren. Omdat deze problemen voorspelbaar zijn, zijn ze met een gerichte scan ook goed vooraf op te sporen.