63Секреты и ключи

Если ты пропустишь всё остальное - прочитай это.

Ключ доступа - это пароль от какого-то сервиса. От твоей ИИ, от базы, от платежей. Тот, у кого он есть, может делать всё то же, что и ты. В том числе тратить твои деньги.

Главное правило: ключи никогда не лежат в коде. Они живут в отдельном файле, который не попадает в историю и не уезжает в интернет. Скажи об этом ИИ в самом начале проекта - она всё оформит правильно сама.

Почему это настолько серьёзно. По интернету круглосуточно ходят боты, которые ищут выложенные ключи. Не «когда-нибудь заметят» - находят за минуты. Публичный репозиторий с ключом внутри опустошает счёт быстрее, чем ты успеваешь заварить чай.

И это не страшилки. В начале 2026-го Moltbook, соцсеть для ИИ-агентов, собранная с помощью ИИ, через три дня после запуска выставила наружу полтора миллиона ключей доступа, тридцать пять тысяч почтовых адресов и личные переписки. Причина - одна пропущенная настройка базы данных.

И это не единичный случай. В июне 2026-го проверили больше тысячи сайтов, собранных в Lovable, Bolt, v0 и похожих конструкторах: хоть одна дыра нашлась почти у всех, серьёзная - почти у каждого третьего, а в 172 случаях любой прохожий мог стирать чужие данные. А по летнему отчёту Veracode почти в половине задач ИИ пишет код с известной уязвимостью, и за год лучше не стало: модели умнеют, но безопаснее не становятся.

Вывод не «не пользуйся ИИ». Вывод: ИИ не думает о безопасности сама, если её не попросить. Проси. Прямо: «проверь, нет ли тут дыр», «проверь, что секреты не попадают в репозиторий». Она умеет, просто не делает по умолчанию.

И у меня был свой случай: ключ доступа однажды оказался прописан там, где не должен был. Разбирался с последствиями несколько дней. Пять минут внимания в начале стоят дешевле.