Ihre KI hat die App gebaut.
Wir prüfen, ob sie Daten verliert.
Millionen Menschen veröffentlichen Apps, die sie nicht ganz selbst geschrieben haben — und diese Apps geben API-Schlüssel preis, legen Datenbanken offen und laufen ungeschützt. URL einfügen und in Sekunden einen Sicherheitsbericht erhalten.
Sechs Wege, wie vibe-coded Apps Daten verlieren
Offengelegte API-Schlüssel und Secrets
Wir lesen Ihre Seiten und jede JavaScript-Datei mit über 50 Schlüsselformaten — OpenAI, Anthropic, Stripe, AWS, Supabase, GitHub, Datenbank-URLs und mehr.
Supabase- und Firebase-Regeln
Das häufigste Leck beim Vibe Coding. Wir erkennen Ihr Backend und prüfen, ob jeder Tabellen, Collections oder Dateien lesen kann — ohne Anmeldung.
Fehler bei Authentifizierung und Sitzungen
Cookies ohne HttpOnly/Secure/SameSite, gefährliches CORS, unsichere Login-Formulare und Service-Schlüssel, die jeden Schutz umgehen.
Offene Endpunkte und geleakte Dateien
Wir suchen nach .env-Dateien, offenen .git-Verzeichnissen, Datenbank-Dumps, Admin-Konsolen und Konfigurationsdateien, die nie öffentlich sein sollten.
Live-Daten zu CVEs und Malware
Bibliotheken und Lockfiles werden live gegen OSV.dev, CISA KEV und EPSS geprüft — dazu über 960 schreibgeschützte CVE- und Expositionstests, die täglich wachsen.
Risiken bei KI, MCP und CI/CD
LLM-Schlüssel im Browser, MCP-Server ohne Authentifizierung, Umgehung der Next.js-Middleware und Skript-Injection in GitHub Actions.
Von der URL zum Bericht in drei Schritten
- 01
Ziel angeben
Fügen Sie die URL Ihrer Live-App ein oder ein GitHub-Repository — öffentlich oder privat mit einem schreibgeschützten Token. Alles kostenlos, ohne Konto.
- 02
Leichter oder tiefer Crawl
SafeVibe durchläuft Ihre Website wie ein Besucher und zeigt Probleme live, während jede Seite analysiert wird. Der tiefe Scan ergänzt aktive Proben, sobald Sie nachweisen, dass die Website Ihnen gehört.
- 03
Bericht erhalten
Ein benoteter Bericht mit Schweregrad, geschwärzten Belegen und der genauen Lösung für jeden Fund.
Ein Scanner, der jeden Tag besser wird
SafeVibe pflegt eine dauerhafte Bibliothek von Sicherheitstests. Bekannte Schwachstellen werden genau einmal in Tests umgewandelt, mit deterministischem Code — ohne KI, ohne Raten. Jede Stunde kommt nur Neues hinzu. Die KI ist für die Recherche zu Schwachstellen reserviert, für die noch niemand einen Test geschrieben hat.
- 1
Sammeln
Stündlich liest SafeVibe öffentliche Schwachstellenquellen: ProjectDiscovery nuclei-templates, den CISA-Katalog aktiv ausgenutzter Schwachstellen, OSV.dev und FIRST EPSS.
- 2
Einmal umwandeln
Jede Schwachstelle wird genau einmal zum Test und im Register vermerkt. Alles, was eine Website angreifen würde — Exploits, Schadcode, Brute Force — wird dauerhaft abgelehnt.
- 3
Inkrementell wachsen
Spätere Synchronisierungen verarbeiten nur, was in der Quelle neu ist oder sich geändert hat, entfernen gelöschte Tests und aktualisieren, welche Schwachstellen aktiv ausgenutzt werden.
- 4
KI für Neues
Neu veröffentlichte Schwachstellen ohne Test gehen an den KI-Forscher, jede genau einmal. Jeder Vorschlag wird geprüft, bevor er Ihre Scans erreicht.
Schutzmechanismen in jedem Test
Eine einzige GET- oder HEAD-Anfrage, kein Body, keine Angriffslast, produktspezifische Kriterien und eine vollständige Testreihe vor der Veröffentlichung.
Intelligent beim Scannen
SafeVibe erkennt Ihren Stack (Next.js, Supabase, WordPress…) und führt nur passende Tests aus. Fallback-Seiten von Single-Page-Apps zählen nie als Fund.
Dazu Live-Daten
Jeder Scan prüft Bibliotheken gegen OSV.dev; aktiv ausgenutzte CVEs werden priorisiert und nach Ausnutzungswahrscheinlichkeit (EPSS) sortiert.
Claude, dort eingesetzt, wo es etwas bringt
SafeVibe nutzt Claude Opus 5.5 von Anthropic (Modell claude-opus-5-5) über das offizielle Anthropic-SDK, mit schemagebundenen Antworten. Es hat zwei Aufgaben — und prüft nie erneut, was die Testbibliothek bereits kennt.
KI-Bedrohungsforscher
- Nimmt neu in CISA KEV aufgenommene CVEs ohne Test und sucht wöchentlich im Web nach neu veröffentlichten Schwachstellen im Vibe-Coding-Stack.
- Liest die Sicherheitshinweise und entwirft einen passiven Test — oder erklärt, warum kein sicherer Test möglich ist.
- Jede CVE wird nur einmal recherchiert; eine CVE-Kennung wird nur akzeptiert, wenn sie in echten Suchergebnissen vorkommt.
- Seine Vorschläge unterliegen strengeren Regeln als Community-Tests und werden vor der Veröffentlichung geprüft.
KI-Analyst
- Prüft den Code Ihrer Website auf Logikfehler, die Regeln nicht sehen: Autorisierung nur im Browser, versteckte Admin-APIs, ungefilterte Datenbankabfragen.
- Secrets werden vor dem Senden geschwärzt; der Inhalt Ihrer Website gilt als nicht vertrauenswürdig (Schutz vor Prompt-Injection).
- Ein Fund bleibt nur, wenn er Code zitiert, der wirklich in Ihrer Datei steht.
- SafeVibe testet markierte APIs selbst, ohne Zugangsdaten, und meldet nur, wenn die Antwort ein Leck belegt.
Kostenlos und für verantwortungsvolle Nutzung gebaut
Alle Scans sind kostenlos und ohne Konto. Passive Scans lesen nur, was jeder Browser lädt. Tiefe Scans senden aktive Proben und laufen daher nur auf Websites, deren Inhaber ein SafeVibe-Verifizierungstoken veröffentlicht hat — der Server prüft es zu Beginn jedes tiefen Scans erneut. GitHub-Repositories brauchen keine Verifizierung; private nutzen ein schreibgeschütztes Token, das Sie angeben.
Fragen zu SafeVibe
Was ist SafeVibe?
SafeVibe ist ein kostenloser Sicherheitsscanner für Apps, die mit KI-Werkzeugen gebaut wurden (Vibe Coding). Er analysiert eine Live-Website oder ein GitHub-Repository auf offengelegte Secrets, offene Datenbankregeln, verwundbare Bibliotheken, bekannte CVEs und riskante Konfigurationen und erklärt, wie jeder Fund behoben wird.
Ist SafeVibe kostenlos?
Ja. Alle Scanarten sind kostenlos und ohne Konto: Websites, tiefe Scans eigener Websites sowie öffentliche oder private GitHub-Repositories.
Was prüft SafeVibe?
Offengelegte API-Schlüssel (OpenAI, Anthropic, Stripe, AWS, Supabase…), Supabase Row Level Security und Firebase-Regeln, Cookies und CORS, geleakte Dateien wie .env oder .git, Admin-Panels, verwundbare JavaScript-Bibliotheken, über 960 CVE- und Expositionstests, GitHub-Actions-Risiken und bösartige npm-Pakete.
Ist es sicher, meine Website zu scannen?
Ja. Ein leichter Scan liest nur, was ein Browser ohnehin lädt. Ein tiefer Scan sendet schreibgeschützte Proben und läuft erst, nachdem Sie per Meta-Tag, /.well-known-Datei oder DNS-Eintrag nachgewiesen haben, dass die Website Ihnen gehört. Keine Prüfung verändert Daten oder sendet Angriffslasten.
Kann SafeVibe private GitHub-Repositories scannen?
Ja. Erstellen Sie ein feingranulares GitHub-Token mit Lesezugriff auf dieses Repository und fügen Sie es in den Scanner ein. Es wird im Anfrage-Body über HTTPS gesendet, nur während des Scans im Speicher verwendet und nie gespeichert oder protokolliert.
Wie bleibt SafeVibe aktuell?
Eine stündliche Synchronisierung liest öffentliche Erkennungsvorlagen und die CISA-Liste ausgenutzter Schwachstellen. Jede Schwachstelle wird genau einmal zum Test und landet in einem dauerhaften Katalog; nur Neues oder Geändertes wird erneut verarbeitet.
Nutzt SafeVibe KI, und was passiert mit meinem Code?
Die KI (Claude von Anthropic) recherchiert im Hintergrund die neuesten Schwachstellen. Der optionale KI-Analyst während des Scans ist standardmäßig aus; wenn Sie ihn aktivieren, werden Secrets geschwärzt, bevor Ihr clientseitiger Code gesendet wird, und jeder KI-Fund wird am Code überprüft.