Humble Bundle 因 Vibecoding 搞砸安全
Humble Bundle just killed most of their security through vibecoding
Humble Bundle 近期因过度依赖 Vibecoding 导致严重的安全漏洞，原本强制的 2FA 验证被移除，用户登录仅需密码。社区讨论指出，这并非 AI 的错，而是管理层盲目追求效率、忽视基本安全测试的结果。许多用户发现登录流程变得异常简单，甚至出现自动支付等潜在违规功能。这场风波揭示了当企业用 AI 堆砌代码却缺乏人工审核时，技术债务和安全风险会如何反噬。正如评论所言，问题不在于工具，而在于谁在负责。
AI 不会制造糟糕的软件，制造糟糕软件的是人。
HN 评论区
196- oliwarner
把这一切都归咎于 Vibecoding 真是怪了。我多次要求他们提供认证系统，他们给出的方案通常功能还蛮全的。也许是因为我知道自己想要什么吧。
编辑：我刚才试着登录，结果 Google 和邮箱两种方式都失败了。不管他们做了什么，显然测试得不够充分。
- trvz
这根本不是 AI 的锅。事实上，他们恐怕还得跟 LLM 斗智斗勇，才能把东西做得这么简陋。
我是 Humble Bundle Choice（他们的月度订阅服务）的订阅用户，每次登录都得收一封邮件验证码，这体验简直折磨人。
- Ekaros
这是重写后功能反而变差、纯粹为了改而改的完美案例……
我还在纳闷为什么没收到他们的登录验证码邮件，结果一小时后才收到……看来是个挺大的疏漏……
- dtech
> 你还可以在没有确认的情况下修改密码——既不需要输入旧密码，也不需要二次确认新密码。
这看起来主要是那些不知道自己在干嘛的人造成的吧？任何模型默认都应该要求这些步骤，因为这在所有地方都是标准做法。
- 1313ed01
能不能请那边有人现在就点一下回滚按钮，然后大家就假装这事从来没发生过？我觉得新网站已经没救了。旧网站挺好的。就让它保持原样吧。我上个月才买了个 Bundle，好像买了三个。
如果他们能专注于找更多有趣的 Bundle 来卖，再也不要碰网站代码，那就没问题了。自从 Humble Indie Bundle 1 开始，我就一直乐呵呵地从他们那儿买些平时根本不需要的东西。
- aeQu5igh
他们删掉了原始 Humble Bundle 的下载链接。我现在再也下不了 Gish 了。
- nyktas
在他们反复未经同意就重新激活 Humble Choice 订阅计划的自动续费（我多次选择暂停，是的，他们提供了这个官方选项）之后，我不得不彻底取消该计划，毕竟我是当初还叫 Monthly 时的早期订阅用户。
这让我看清他们已经不在乎了。
但令我困惑的是，既然他们原本就有不错的安全措施，LLM 怎么会把情况搞得更糟？任何顶尖模型都不该犯这种错。看来只能得出结论：他们甚至懒得花钱用 SOTA 模型，哪怕是 DeepSeek 4.1 Flash，反而为了省几毛钱，转向了更便宜但能力也差得多的模型。
- agilob
> 糟糕到他们居然开启了购买时的一键支付（这在某些地方是违法的）。
这在某个司法管辖区真的违法吗？还是违反了支付服务商的服务条款，导致他们可能被永久禁止使用信用卡支付？