Cosa possiamo imparare dal caso BAUDR?

Guarda su YouTube → 14:21 18 marzo 2026

Descrizione

Baudr è un social creato da un content creator, GrenBaud nello specifico. Quando ha lanciato l'applicazione alcuni utenti sono riusciti a diventare amministratori e ad accedere al database sia in scrittura che in lettura. In questo video porto delle mie osservazioni sulla questione. La morale? Tutto figo con l'AI, ma stiamo attenti quando vogliamo lanciare un servizio o un prodotto, perché l'AI da sola non basta. L'expertise umana è ancora necessaria. OWASP Top 10 può essere un punto di partenza per capire quali possono essere le varie vulnerabilità di interesse. Stiamo attenti in particolare alle Broken Access Control, alle vulnerabilità di Autenticazione, e alle vulnerabilità di Injection. - https://owasp.org/Top10/2025/ Sto costruendo un luogo per imparare seriamente l'informatica: - https://esadecimale.it - https://learn.esadecimale.it

Commenti 44

I commenti vengono da YouTube e sono aggiornati periodicamente.

@MattiaItaliano 18 marzo 2026 12

Non posso dire che mi aspettavo questo video, ma di sicuro me lo guardo volentieri!
@christophercoghe 18 marzo 2026 16

Dai, è palesemente un “progetto” di qualcuno che non ha idea di cosa ci sia dietro un sito. Io ho basi di programmazione,sono appassionato, ho creato un programma Python con AI per gestire il mio portafoglio investimenti che mi diverto a modificare per prendere dimestichezza col linguaggio. Già così, con le mie scarsissime competenze, mi sono accorto di quanto sia difficile far scrivere del buon codice con AI se non sai esattamente cosa ti serve e cosa le vuoi far fare. Come cavolo gli è venuto in mente di creare e mettere online un social? Sono sconcertato dall’ego e l’auto stima smisurata che ha certa gente(oltre che grandissima ignoranza manifesta)
2 risposte
1. @emanueleb88 21 marzo 2026 3
  
  Sì ma poi, al di là della programmazione, c'è tutto il casino legato al raccogliere dati sensibili e protezione dei dati, rischi problemi legali se sbagli qualcosa. Io avrei lasciato perdere già solo per questo.
2. @MS17TECH 30 marzo 2026 2
  
  Quello che fai si chiama VibeCoding e non penso che hai le basi perchè se comprendi la struttura logica non hai bisogno di usare AI per Python che è un linguaggio di alto livello molto semplice da imparare.
@gabrieledc5846 18 marzo 2026 1

Carissimo, sono iscritto al canale perché i tuoi contenuti sono molto validi, tuttavia guardo raramente i video, perché molto tecnici. Saluto quindi, con gratitudine e soddisfazione, questi video più “di alto livello” e divulgativi
@larese64 4 aprile 2026 1

Verissimo, la sicurezza è un punto cruciale. Infatti quando sviluppo con AI ho ben 3 agenti revisori: il primo che controlla tutte le owasp, più altre indicazioni mirate in base ai framework che uso, il secondo interviene in due momenti: durante la scrittura delle storie da sviluppare e alla fine con la code review per sistemare eventuali problemi di sicurezza nel codice. il terzo lo uso alla fine per cercare di bucare la app sviluppata.
1 risposta
1. @esadecimale Autore 4 aprile 2026 2
  
  Si esatto avere agenti diversi, o comunque fare diverse domande al modello è fondamentale. In futuro farò vedere qualcosa del genere perché è molto utile.
@BardSapio 18 marzo 2026 1

Non vedo l'ora del corso sul secure code review
@caterinarenzo48 18 marzo 2026

Grazie! :)
@Lilkvlexx 18 marzo 2026 1

ASPETTAVO QUESTO VIDEO
@gabrydanto778 18 marzo 2026

Ciao Leo come sempre ottimo contenuto by Nick..😊
@whataboutmatstuff 19 marzo 2026

Bravissimo
@miciodev 19 marzo 2026 1

Hype e like sulla fiducia e me lo ascolto mentre completo il mio progettino🎉 poi sentiamoci per la live
1 risposta
1. @esadecimale Autore 19 marzo 2026
  
  assolutamente, appena riesco ti rispondo!
@Giovanni-g2g5c 19 marzo 2026 1

L'AI è utile solo per chi è in grado di verificare il risultato, ormai gli esempi di AI che hanno cannato anche su cose importanti incominciano ad essere tanti.
@nicopatico 20 marzo 2026 8

Sto scrivendo una blockchain in Go, con aiuto di AI ma mettendoci anche parecchia testa. è un progetto universitario che in futuro vorrei usare come progetto di laurea. Ti andrebbe di provare ad attaccarla e realizzarci un video? Potrebbe essere interessante vedere la cosa applicata su un progetto opensource e delicato
@333revenge 24 marzo 2026 1

Per quelli che pensano sia una stupidaggine di vulnerabilità. Tengo a tenere a mente che è ormai iniziata una grande propaganda, che punta a portare la possibilità di realizzare applicazioni e software a persone totalmente inesperte, che non solo non hanno basi di programmazione, ma tantomeno di sicurezza informatica. Credo che questo video abbia proprio l'intenzione di allarmare i potenziali vibecoder (che potrebbero portare in production progetti totalmente unsafe e mettere a rischio dati di altre persone) al fatto che l'ai non è magia. Fare software che funzionino all'apparenza di un utente inesperto è diverso da fare software sicuri, stabili e efficenti.
1 risposta
1. @esadecimale Autore 24 marzo 2026
  
  Hai capito perfettamente il punto ;)
@Gnoppo 18 marzo 2026

sono nuovo su questo canale, davvero ottimo video. sarebbe bello vedere un effettivo test per cercare di bucare il sito
1 risposta
1. @esadecimale Autore 18 marzo 2026 3
  
  Allora nel canale ho dei video in cui mostro come bucare questo tipo di web app. Ora nello specifico bucare Baudr e registrarmi farlo sarebbe un bel po' illegale ahahah. Per fare pratica su queste cose si sviluppano applicazioni appositamente vulnerabili prendendo spunto dai tipici errori dei developers.
@iamren03 20 marzo 2026

Ottimo video :) ps. che distro usi?
1 risposta
1. @esadecimale Autore 20 marzo 2026 1
  
  arch con i3 e emacs come text editor
@paolomonni8333 19 marzo 2026 1

Cosa rischia dal parte del garante della privacy o dall'AGCOM? Ha letteralmente permesso il furto di dati, la responsabilita' e' la sua.
1 risposta
1. @esadecimale Autore 19 marzo 2026 1
  
  Rischia la società mi sembra. Quindi dipende molto dalla società utilizzata per gestire l'applicazione. La multa è una % del fatturato, però onestamente non so cosa succede in quelle situazioni in cui magari apri una nuova società ma con quella non fatturi niente
@Anto-uq4nb 18 marzo 2026 2

Ma dai è una cacata vibecoddata e anche male con 0 api key e probabilmente le avranno lasciate nel frontend cioè neanche un ragazzo di 15 anni fa questi errori
1 risposta
1. @esadecimale Autore 18 marzo 2026 3
  
  Non penso che chi abbia programmato abbia le conoscenze necessarie per capire cosa significhi lasciare le keys nel frontend. Sono d'accordo con te che dal punto di vista della sicurezza è una cagata. Però è comunque interessante da analizzare proprio perché rappresenta un caso estremo di quanto ignoranza incontra un LLM con dei prompt limitati e che non considerando la sicurezza.
@andreasgalluccio 20 marzo 2026

Risparmio tutta la fatica per chi lo cerca, 90% del lavoro l'ha fatta con AI, usando circa 40 euro mi pare
1 risposta
1. @b3luga 22 marzo 2026
  
  di cui almeno 5 per pagare il dominio....l'ha fatta cazzeggiando senza alcun impegno....
@andrearosanova6550 19 marzo 2026

Io avrei una domanda, nel tuo canale youtube hai un corso che riguarda la sicurezza informatica, per un programmatore java che si occupa di web ed iot quel corso può essere una base per capire meglio la sicurezza ifnormatica dalla sua prospettiva?
1 risposta
1. @esadecimale Autore 19 marzo 2026
  
  Ciao, allora sul canale è presente un corso vecchio di un paio di anni fa, registrato se ricordo bene nel 2023. Quel corso è sicuramente valido, ma di recente nel 2025 ho registrato un corso completamente nuovo e molto più strutturato e adatto a chi sviluppa webapp perché si analizza una webapp pseudo-reale. Il corso nuovo è "introduzione pratica alla sicurezza informatica" ed è presente in piattaforma. Detto questo anche il corso del 2023 è valido
@PaoloAlghisi 31 marzo 2026

AI is the new Macro of Excel ahahahahhaahah venghino siore e sioriiii tutti programmatori senza manco saper calcolare una percentuale SI ACCOMODINOOOOOO
@alealba2383 19 marzo 2026

Ma che bel mondo. Prima avevamo Windows e vabbè sappiamo cosa è accaduto e accade tuttora. Poi sono arrivati gli sviluppatori della domenica e vabbè, applicazioni scritte non con le mani ma con altre parti. Adesso c'è la IO e tutti credono di poter creare App e così è la fine. La IO ci porterà alla fine del percorso. Amen.
2 risposte
1. @esadecimale Autore 19 marzo 2026
  
  IO?
2. @alealba2383 20 marzo 2026
  
  @esadecimaleIo la chiamo IO non IA, come il raglio dell'asino. In fondo non sa nulla se non glielo insegni e comunque non sa nulla.
@acogacog1222 18 marzo 2026

ciao, pensiero sul video in se, o meglio sulla bravata di grebaud, speriamo intervengano le autorità competenti. Per quanto riguarda il tuo sito esadecimale volevo chiederti una cosa, quando premo su accedi manda direttamente nella sezione in cui si deve pagare, cosa che accade quando sono già registrato e per accedere all'area dei corsi lo faccio appunto dal pulsante: vai al corso. Domanda è normale cosi? effetto voluto pure sto sbagliando io? secondo me dovrebbe mandare ad una pagina di Log in
4 risposte
1. @esadecimale Autore 18 marzo 2026 1
  
  Allora è un problema di UI/UX che devo migliorare. Per fare il login una volta che hai l'account non devi andare nella landing page ma puoi andare direttamente su learn.esadecimale.it e vedi il tasto login in alto a destra su desktop, mentre su mobile c'è un menu a tendina a sinistra e se clicchi c'è scritto "sign in" Però in futuro per renderlo più chiaro metto direttamente un login sulla landing page, perché forse così confonde
2. @acogacog1222 18 marzo 2026
  
  @esadecimaletop grazie
3. @esadecimale Autore 18 marzo 2026
  
  @acogacog1222 Btw ho aggiunto un pulsante per effettuare il login direttamente il landing page se si ha già un account, vediamo come procede, in caso cambio design tra un po! Grazie del feedback, magari può essere utile ad altri
4. @acogacog1222 18 marzo 2026
  
  @esadecimalesì ecco io l’ho chiesto perché scrivo direttamente esadecimale sul browser e non conoscevo learn.esadecimale…
@buttha_ 3 aprile 2026

non me ne volere ma l'AI lambisce scenari ben più interessanti di questi "casi di cronaca" patetici. Non che stia criticando l'averne parlato ma, francamente, utilizzare questi esempi non porta a nessun contributo che varchi la soglia della banale considerazione che la conoscenza sia necessaria. Vogliamo parlare seriamente di security e di IA? Non facciamo finta di niente: nulla è più come prima, la svolta è *epocale*. Io francamente rimango sgomento di fronte a dev che, per definizione, dovrebbero essere l'avanguardia tecnologica e non hanno neanche superato la prima fase della elaborazione del lutto. Perché sì, è quello che leggo da questo video: o vuoi vendere corsi (cosa che escludo) o sei in fase di negazione oppure non vuoi affrontare l'argomento seriamente
4 risposte
1. @esadecimale Autore 3 aprile 2026
  
  Stai parlando di altro, completamente decontestualizzando il messaggio del video, che palesemente non è banale, dato che il mondo mostra segnali che non lo sia. Il mondo non sei tu. Se è banale per te non è detto che lo sia per altri. Io invece rimango sgomentato da persone che non capiscono il contesto comunicativo e, decontestualizzando, parlano di altro.
2. @buttha_ 3 aprile 2026
  
  @esadecimaleil contesto, per quanto mi riguarda, è il tuo canale. Che mi sembrava di approfondimento. Evidentemente ho sbagliato a giudicare il tuo target. Nel mentre ci sono llm che stanno tirando fuori zero day come non ci fosse un domani. Gli stessi llm che, utilizzati con cognizione di causa, ti aiutano a scrivere e ad analizzare il tuo stesso codice. Ma va bene così, avanti a trattare la cosa al minimo sindacale. Ciao, mi decontestualizzo
3. @esadecimale Autore 3 aprile 2026
  
  @buttha_ questo video ha un target più ampio, cosa che tra l'altro menziono, voglio parlare a gente non esperta, per dire l'ovvio si. E quindi? È ovvio per te. Non per altri. Capisci che il mondo non finisce nella tua consapevolezza.. Ci saranno altri video approfonditi che parleranno ad esperti su cose che gli esperti capiscono. Nessuno sta negando. Sei tu a forzare la tua visione a persone meno esperte di te.
4. @buttha_ 10 aprile 2026
  
  @esadecimale chiedo venia