Beveiligingsscans voor AI-gebouwde apps
VibeShield
Je AI leverde het op.Wij checken wat het openliet.
Koppel je GitHub-repo en VibeShield scant hem op gelekte sleutels, open databaseregels en kwetsbare packages — volgens een schema, en opnieuw bij elke wijziging die je pusht.
SecretsDatabaseregelsDependencies
Wat er misgaat
Waar je AI-app openstaat
Databaseregels uit, sleutels in de browser, endpoints die niemand controleert. Bijna elke snel gebouwde app heeft er een.
Wat wij doen
We scannen je app en leggen het uit
Geen lijst met CVE-nummers — één zin per bevinding: wat er kan gebeuren, en wat het dicht.
Wat je overhoudt
Fixes voor je app, geen tickets
Wij openen de pull request. Jij klikt op akkoord. Elke push daarna wordt opnieuw gecontroleerd.
De kloof
De laatste 20% is geen afwerking.
Het is het deel waar het ding veilig moet zijn, moet werken voor iemand die jij niet bent, en bereikbaar moet blijven op een URL.
- 01
De secrets belandden in de bundel
Vite bakt alles met een client-prefix in. De service-sleutel gaat mee naar elke bezoeker.
- 02
Auth die alleen op auth lijkt
De adminknop is verstopt in de UI. Het endpoint erachter antwoordt nog steeds iedereen.
- 03
Een database zonder regels
Row-level security is nooit aangezet, dus elke rij is voor iedereen leesbaar.
- 04
Niets vangt de fouten op
Een mislukt verzoek laat een wit scherm achter. Je hoort het via een screenshot.
- 05
Het bouwt alleen op jouw machine
Een afgedreven lockfile, een niet-gedeclareerde peer-dependency, een env-var die in je shell-history woont.
- 06
Er is geen undo
Geen staging, geen rollback, geen back-up. De enige kopie van de data staat in productie.
AI-app beveiligen
De risico's van een AI-gebouwde app
AI-tools schrijven code die werkt, maar beveiliging zit zelden in de opdracht. Dit zijn de vier risico's die we het vaakst zien, en wat ze betekenen voor de gegevens van je gebruikers.
Gelekte sleutels
API-sleutels en de service-sleutel van je database belanden in de browsercode, een meegebouwd .env-bestand of je git-historie. Wie zo'n sleutel vindt, gebruikt jouw account en jouw data.
Open databaseregels
Tabellen zonder row level security, of met regels die iedereen doorlaten. Met de publieke sleutel uit je website is dan de hele database uit te lezen.
Kwetsbare packages
AI-tools kiezen packages op wat werkt, niet op wat veilig is. Eén verouderde dependency met een bekende kwetsbaarheid is genoeg voor een aanval die al lang beschreven is.
Prompt injection
Gebruikt je app zelf een AI-model, dan kan iemand het met slimme invoer andere instructies geven: gegevens opvragen, regels negeren of acties uitvoeren. Geef het model niet meer rechten dan nodig en behandel zijn antwoorden als onbetrouwbare invoer.
Wat gebeurt er met gevoelige gegevens?
Bewaart je app namen, e-mailadressen of betaalgegevens, dan ben jij volgens de AVG verantwoordelijk voor de beveiliging, ook als een AI-tool de code schreef. Lekt er iets, dan moet je dat in de meeste gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Stuurt je app gegevens naar een AI-model, zoals dat van OpenAI of Anthropic, dan verwerkt die aanbieder ze voor jou. Leg dat vast in een verwerkersovereenkomst, stuur alleen wat nodig is en zet nooit wachtwoorden of sleutels in een prompt.
De EU AI Act gaat over AI die je zelf aanbiedt, niet over de tool waarmee je bouwt. Praten je gebruikers met een chatbot in je app, dan moet je sinds 2 augustus 2026 duidelijk maken dat ze met AI te maken hebben.
VibeShield controleert de eerste drie risico's automatisch, bij elke push: sleutels, databaseregels en packages.
De scan
Waar we echt naar kijken.
Koppel je repo en VibeShield werkt hem door zoals iemand die wil inbreken dat zou doen — en geeft je daarna de fix, geen rapport, maar een prompt voor je AI agent
01
Secrets
De meest voorkomende manier waarop een vibe-coded app lekt.
- Sleutels gevolgd door code, build-output en logs
- Client-bundels gecheckt op ingebakken serversleutels
- Git-historie gescand op sleutels die je al geroteerd hebt
02
Databaseregels
Row-level security, gelezen tegen je werkelijke schema.
- Tabellen die via de API openstaan zonder policy
- Policies die ruimer zijn dan ze lijken
03
Dependencies
Bekende kwetsbaarheden in de packages die je binnenhaalde.
- Advisories gekoppeld aan je lockfile
- Gerangschikt op of het pad bereikbaar is
04
Auth en endpoints
Verstopt in de UI is niet hetzelfde als beschermd.
- Routes en functies beproefd zonder sessie
- Adminpaden die iedereen antwoorden die het vraagt
- Invoer die ongefilterd in een query belandt
05
Configuratie
De instellingen die iedereen is vergeten.
- CORS, headers en cookie-flags
- Debug-modes en stacktraces die aan bleven staan
06
Elke wijziging
De scan draait opnieuw als je pusht, in elk plan.
- Een oordeel op de commit, geen maandelijkse verrassing
- Elke bevinding komt met een patch
07
Backups
Automatische kopieën van je data, zonder dat je eraan hoeft te denken.
- Je database wordt automatisch veiliggesteld
- Gaat er iets mis, dan zet je een eerdere versie terug
08
Uptime monitoring
We houden in de gaten of je app bereikbaar is — en jij hoort het als eerste als dat niet zo is.
- Continue controle of je site en app het doen
- Meteen een melding zodra er iets uitvalt
Hoe het werkt
Van repo naar oordeel in een minuut.
- 01
Koppel de repo
GitHub in één klik, of draai de CLI. Geen configbestand, geen handwerk.
- 02
Lees de bevindingen
Gerangschikt op ernst, elk met een patch die je kunt lezen.
- 03
Fix het in je AI-tool
Koppel je AI-tool via de VibeShield MCP en voer elke verbetering door vanuit de editor waarin je al bouwt.
- 04
Blijf gescand
Dagelijks, wekelijks of maandelijks — plus elke wijziging die je pusht.
~/your-projectzsh
$ npx vibeshield scan4 security findings in this repoapps/web/.env.productionservice key is inlined into the client bundle→ patch available$ npx vibeshield fix4 patches applied$ npx vibeshield watch --dailyscanning on schedule + on every push
Inbegrepen
En dan hosten we het in Nederland.
Niet als upsell. Als wij degenen zijn die je vertellen dat het niet veilig staat waar het nu draait, moeten we je ook ergens kunnen laten zien waar dat wél zo is.
NL
Datacenters in nederland
EU
Back-ups en logs blijven binnen de EU
Probeer VibeShield
Probeer een beveiligingsscan voor je app één keer gratis.
Controleer je AI-gebouwde app op gelekte sleutels, open databaseregels en kwetsbare packages. Ontvang duidelijke bevindingen en verbeteringen voor je AI-tool.
Probeer één keer gratis
Start in de VibeShield-app.
Prijzen
Kies hoe vaak we kijken.
Elk plan is dezelfde scan — secrets, databaseregels, dependencies, blootgestelde endpoints. Het verschil is hoe vaak we kijken, en vanaf Standard bewaken we ook of je app online is. Elke push naar main wordt in elk plan opnieuw gescand.
Maandelijkse scan
VibeShield Secure Starter
Voor een side-project dat live staat maar zelden verandert.
€9,99/ maand
Excl. btw
- Volledige beveiligingsscan één keer per maand
- Scan bij elke push naar main
- Zelf een scan starten wanneer je wilt
- React-apps vanuit GitHub en WordPress-sites
- E-mailmelding bij kritieke bevindingen
- Bevindingen met een patch erbij
Meest gekozen
Wekelijkse scan
VibeShield Secure Standard
Voor een product met echte gebruikers en een normaal releaseritme.
€19,99/ maand
Excl. btw
- Alles uit Secure Starter, plus:
- Volledige beveiligingsscan elke week
- Uptime-monitoring: elke 15 minuten een check
Vier scans per dag
VibeShield Secure Pro
Voor alles wat je liever niet aan een klant uitlegt.
€39,99/ maand
Excl. btw
- Alles uit Secure Standard, plus:
- Volledige beveiligingsscan vier keer per dag
- Uptime-monitoring: elke minuut een check
Twijfel je nog welke scan bij je past? Begin met één gratis scan en bekijk de bevindingen zelf.
Start met gratis scanVergelijk de plannen
Wat er in elk plan zit, naast elkaar.
| FunctiePrijs | Starter€9,99 | Standard€19,99 | Pro€39,99 |
|---|---|---|---|
| Scan bij elke push naar main (GitHub) | Inbegrepen | Inbegrepen | Inbegrepen |
| Zelf een scan starten | Inbegrepen | Inbegrepen | Inbegrepen |
| React-apps vanuit GitHub | Inbegrepen | Inbegrepen | Inbegrepen |
| WordPress-sites | Inbegrepen | Inbegrepen | Inbegrepen |
| E-mailmelding bij kritieke bevindingen | Inbegrepen | Inbegrepen | Inbegrepen |
| Geplande volledige scan | 1× per maand | 1× per week | 4× per dag |
| Uptime-monitoring (check-interval) | Niet inbegrepen | Elke 15 min | Elke minuut |
Koppel de repo, stop wanneer je wilt. Iets groters nodig — meer repo's, SSO, een audit-trail?
Neem contact opVeelgestelde vragen over AI-apps beveiligen
Wat zijn AI-apps?
Apps die met AI-tools zoals Lovable, Cursor, Bolt of Replit zijn gebouwd, of apps die zelf een AI-model gebruiken, zoals een chatbot. VibeShield richt zich op de eerste groep: apps waarvan een AI de code heeft geschreven.
Hoe gebruik je AI veilig?
Plak geen wachtwoorden, sleutels of klantgegevens in een AI-tool, controleer wat de AI bouwt voordat je het live zet, en geef een AI-model in je app niet meer toegang dan nodig. Laat code die AI schrijft bij elke wijziging scannen op gelekte sleutels, open databaseregels en kwetsbare packages.
Hoe beveilig je een AI-gebouwde app?
Zet row level security aan op elke tabel, haal sleutels uit je frontend en roteer wat ooit gelekt is, werk je packages bij en laat elke server-functie de aanroeper controleren. Doe dat bij elke wijziging opnieuw; een scanner als VibeShield doet het automatisch.
Is een app die met AI is gebouwd veilig?
Niet vanzelf. AI-tools leveren code die werkt, maar beveiliging is meestal geen onderdeel van de opdracht. De fouten die we het vaakst vinden zijn open databaseregels en sleutels in de browsercode.
Wat is prompt injection?
Een aanval waarbij iemand via invoer een AI-model andere instructies geeft dan jij bedoelde, bijvoorbeeld om gegevens prijs te geven. Het speelt als je app zelf een AI-model gebruikt. Je beperkt het door het model weinig rechten te geven en zijn antwoorden te controleren.
Geldt de AVG voor mijn AI-app?
Ja, zodra je app persoonsgegevens verwerkt, zoals namen of e-mailadressen. Dan moet je die passend beveiligen en een datalek in de meeste gevallen binnen 72 uur melden bij de Autoriteit Persoonsgegevens.
Wat betekent de EU AI Act voor mijn app?
Bouw je alleen mét AI, dan verandert er weinig: de wet gaat over AI die je zelf aanbiedt. Gebruikt je app AI om met mensen te praten, zoals een chatbot, dan moet je laten weten dat het om AI gaat. Voor toepassingen met een hoog risico, zoals werving of kredietbeoordeling, gelden zwaardere regels.
Kan ik mijn AI-app gratis laten controleren?
Ja. Je kunt een beveiligingsscan van VibeShield één keer gratis proberen in de VibeShield-app. Je koppelt je GitHub-repo en ziet waar je app gelekte sleutels, open databaseregels of kwetsbare packages heeft.