MLVibeScan.
Der Sicherheitscheck für Apps, die mit KI-Werkzeugen gebaut wurden. MLVibeScan prüft Ihre veröffentlichte Anwendung von außen — genau so, wie ein Angreifer sie sieht — und meldet exponierte Zugangsdaten, offene Datenbank-Regeln und fehlende Schutzmaßnahmen. Ergebnis in etwa zwanzig Sekunden.
Ihr KI-Assistent liest den Quellcode. Wir sehen, was ausgeliefert wird.
„Cursor hat meinen Code schon geprüft“ ist ein guter Anfang und trotzdem eine Lücke — nicht weil die Werkzeuge schlecht wären, sondern weil sie an einer anderen Stelle stehen als ein Angreifer. MLVibeScan ersetzt Ihren Assistenten nicht, er prüft nach.
Der Build setzt Werte ein
Im Quelltext steht import.meta.env.VITE_STRIPE_KEY — harmlos. Erst der Build schreibt den echten Schlüssel hinein, und alles mit dem Präfix VITE_ landet dabei im ausgelieferten Bundle.
Der Server steht nicht im Repository
Security-Header, TLS-Zertifikat, HTTPS-Weiterleitung, CORS-Regeln und Cache-Verhalten kommen von Vercel, Netlify, nginx oder Cloudflare. Nichts davon ist im Code nachlesbar.
Die Datenbank ist ein Schalter
Ob Row Level Security in Ihrem Supabase-Projekt tatsächlich eingeschaltet ist, steht nirgends im Code — das ist eine Einstellung im Dashboard, und genau dort geht sie unter.
Wer schreibt, prüft nicht
Hat dasselbe Modell den Code geschrieben und geprüft, sind blinde Flecken kein Zufall: Was es beim Schreiben für richtig hielt, hält es beim Prüfen ebenfalls für richtig.
Jede Auslieferung ist neu
Eine zusätzliche Umgebungsvariable, ein geändertes Hosting-Setup, ein neues Paket: Jeder Deploy kann eine Lücke aufreißen, die gestern noch nicht da war. Ein Scan dauert zwanzig Sekunden.
Wir kommen als Fremde
Ein Assistent prüft mit dem Wissen des Autors und kennt die Absicht hinter jeder Zeile. MLVibeScan ruft Ihre öffentliche Adresse auf wie jeder andere Besucher — ohne dieses Wissen.
Was MLVibeScan findet
Der Katalog umfasst derzeit 69 Signaturen, davon 50 Muster für Zugangsdaten, dazu Werkzeug-Fingerabdrücke, exponierte Pfade und verräterische Fehlermeldungen. Er liegt in der Datenbank der Anwendung, damit neue Muster ohne Auslieferung nachwachsen können.
Zugangsdaten im Frontend
Stripe-, Supabase-, OpenAI-, Anthropic-, AWS-, GitHub-, SendGrid- oder Twilio-Schlüssel, die im ausgelieferten JavaScript stehen. Bots fischen sie automatisiert aus öffentlichen Bundles — die Rechnung kommt zu Ihnen.
Offene Datenbank-Regeln
Supabase-Tabellen ohne Row Level Security. Der dafür nötige Schlüssel steht öffentlich in der App — damit lässt sich die Nutzertabelle herunterladen. Diese Prüfung läuft erst nach dem Domain-Nachweis.
Öffentliche Source Maps
Der ungebaute Originalcode mit Dateinamen und Kommentaren, für jeden im Browser lesbar — inklusive aller Zugangsdaten, die je in der Historie standen.
Fehlende Security-Header
CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Ohne sie wird aus einer kleinen Lücke eine ausgenutzte.
Vergessene Dateien
.env, .git/config oder ein Datenbank-Abzug, die versehentlich im öffentlichen Verzeichnis gelandet sind — und dort von automatischen Suchen zuerst gefunden werden.
Vergessene Umgebungen
Die staging- oder preview-Adresse, die seit Monaten mit Echtdaten und ohne Anmeldung läuft, weil niemand mehr daran denkt. Gefunden über das öffentliche Zertifikatsprotokoll.
Veraltete Bibliotheken
Welche JavaScript-Pakete ausgeliefert werden und ob für genau diese Versionen bekannte Lücken dokumentiert sind. Öffentlich dokumentiert heißt: Die Anleitung zum Ausnutzen ist frei verfügbar.
Fremder Code in der App
Pakete aus dokumentierten Angriffen auf die npm-Lieferkette, Code der Formulareingaben mitschneidet, Krypto-Miner. Nicht jeder Einbruch ist sichtbar — diese Spuren sind es.
Entwicklungsserver in Produktion
Wer beim Veröffentlichen npm run dev statt npm run build benutzt, betreibt öffentlich einen Server, der dafür nie gedacht war. Im Browser sieht man keinen Unterschied.
TLS, Cookies und CORS
Abgelaufene Zertifikate, fehlende HTTPS-Weiterleitung, Sitzungs-Cookies ohne HttpOnly oder Secure und eine CORS-Regel, die jeder fremden Website Zugriff im Namen Ihrer Nutzer erlaubt.
E-Mail-Fälschungsschutz
Fehlende SPF- und DMARC-Einträge. Ohne sie kann jeder Phishing-Mails mit Ihrer Absenderadresse verschicken — an Ihre eigenen Kunden.
Meldungen aus fremden Quellen
Ob die Domain bereits als schädlich gemeldet wurde. Das passiert nach einem Einbruch — oft, bevor der Betreiber es selbst merkt. Quellen: OSV.dev, crt.sh, Mozilla HTTP Observatory, urlscan.io.
So läuft ein Scan
1 · Adresse eingeben
Kein Konto, keine Zahlungsdaten, keine Installation. Die öffentliche Adresse Ihrer App genügt — der kostenlose Scan ist rein passiv und ruft die Seite so ab, wie es jeder Browser auch tut.
2 · Ergebnis lesen
Nach etwa zwanzig Sekunden stehen Anzahl, Schweregrad und Kategorie der Funde da. Kostenlos und beliebig oft wiederholbar — auch nach jedem neuen Deploy.
3 · Beheben
Der vollständige Bericht nennt Fundstelle, Beweis und einen fertigen Fix-Prompt für Ihr KI-Werkzeug. 9,49 € einmalig je Adresse, inklusive beliebig vieler Nachtests für 90 Tage und PDF-Export. Kein Abonnement.
Ihr Code verlässt den Arbeitsspeicher nicht
Datenhaltung
- Kein Speichern des Quellcodes HTML und JavaScript-Bundles werden geladen, im Arbeitsspeicher ausgewertet und unmittelbar danach verworfen.
- Nur das Ergebnis bleibt Gespeichert werden die Befunde, gefundene Zugangsdaten darin gekürzt.
- 90 Tage, dann weg Berichte werden automatisch und vollständig gelöscht.
- Server in Deutschland Keine Übermittlung in Drittländer.
Umgang mit fremden Adressen
- Kostenloser Scan rein passiv Er stellt keine Anfragen, die eine fremde Anwendung belasten oder verändern könnten.
- Aktive Prüfungen erst nach Nachweis Datenbank-Proben und Anmelde-Tests laufen erst, wenn per DNS-TXT-Eintrag oder Meta-Tag belegt ist, dass Ihnen die Domain gehört.
- Der freie Bericht verrät keine Fundstellen Er wäre sonst eine Anleitung für Angriffe auf fremde Systeme.
- Keine Tracker, keine fremden Server Auch die Schriftart wird selbst ausgeliefert.
Was ein automatischer Scan nicht leistet
MLVibeScan findet häufige, von außen erkennbare Fehlkonfigurationen. Er ersetzt weder einen Penetrationstest noch eine Prüfung des Quellcodes. Ein Bericht ohne Befunde bedeutet nicht, dass die Anwendung sicher ist — nur, dass diese Prüfungen nichts gefunden haben. Logikfehler, Rechteprobleme innerhalb der Anwendung und alles, was eine Anmeldung voraussetzt, liegen außerhalb dessen, was von außen sichtbar ist. Wer mehr braucht, bekommt es bei uns als Beratung — nicht als Versprechen eines Scanners.
Zwanzig Sekunden vor dem Livegang
Kostenlos, ohne Konto, so oft Sie wollen — und Sie wissen, was Sie da eigentlich ins Netz stellen. MLVibeScan läuft als eigene Anwendung unter mlvibescan.de.
Öffnet mlvibescan.de in einem neuen Tab — ein Dienst von MATIS LABS.