Няма кода — няма абароны: тысячы дзіравых вайбкодэрскіх прыкладанняў на Lovable зліваюць пашпарты, чаты ды іншыя карыстальніцкія дадзеныя
У шведскага ШІ-канструктара Lovable, які дазваляе збіраць вэб-прыкладанні звычайным тэкстам без навыкаў праграмавання, праблемы з захаванасцю дадзеных. Сумеснае расследаванне экспертаў у бяспецы Crissy Field і выдання Handelsblatt паказала, што бязкодавая платформа стварае ілюзію поўнай абароненасці, але насамрэч канфідэнцыяльная інфармацыя карыстальнікаў трапляе ў адкрыты доступ.
У шведскага ШІ-канструктара Lovable, які дазваляе збіраць вэб-прыкладанні звычайным тэкстам без навыкаў праграмавання, праблемы з захаванасцю дадзеных. Сумеснае расследаванне экспертаў у бяспецы Crissy Field і выдання Handelsblatt паказала, што бязкодавая платформа стварае ілюзію поўнай абароненасці, але насамрэч канфідэнцыяльная інфармацыя карыстальнікаў трапляе ў адкрыты доступ.
У маркетынгу Lovable зроблены акцэнт на тым, што для запуску прадукту не патрэбныя тэхнічныя веды. Пры гэтым у пагадненні адказнасць за захаванасць дадзеных цалкам перакладаецца на кліентаў. Паколькі ШІ генеруе прыкладанні ды інтэграцыі з базамі дадзеных (у асноўным Supabase) паводле стандартных шаблонаў, тыповыя памылкі налады правоў доступу дубліруюцца ад праекта да праекта. Гэта дазваляе зламыснікам знаходзіць і ламаць чужыя сервісы пачкамі.
Даследчыкі прааналізавалі 159 041 праект на Lovable за перыяд са снежня 2025 па верасень 2026 года. Інтэграцыю з Supabase выкарыстоўвалі 34,5 тысячы сайтаў. Пры гэтым больш за 24,6 тысячы адпраўлялі запісы з Supabase адразу пры загрузцы старонкі, не патрабуючы аўтарызацыі або нейкіх дзеянняў. Само па сабе гэта яшчэ не брэш у бяспецы: дадзеныя могуць быць прызначаны для публічнага паказу. Але адпраўка дадатковых запытаў на чытанне дазволіла выцягнуць значна больш: у выніку на 7,4 тысячах сайтаў удалося знайсці больш за 10,5 тысячы табліц з імэйламі.
Сярод знойдзеных зліваных дадзеных аказаліся вельмі сур’ёзныя выпадкі:
больш за 80 тысяч профіляў нямецкага форуму з імёнамі, датамі нараджэння і 200 тысячамі асабістых паведамленняў;
дзясяткі тысяч замоваў рэстаранаў і квіткоў з плацежнымі рэквізітамі, адрасамі ды тэлефонамі;
згенераваныя ШІ выжымкі з унутранай перапіскі кіруючай кампаніі пра уласнікаў і жыхароў;
больш за 1 тысячу запісаў з дэталямі дакументаў, у тым нумары пашпартоў, тэрміны іх дзеяння і грамадзянства, што адкрывае прамую дарогу да крадзяжу асобы;
дзясяткі тысяч рахункаў, кантрактаў, асабістых фотаальбомаў, чатаў у WhatsApp і база з 280 тысячамі кліентаў аднаго з сервісаў.
Галоўная выснова даследавання ў тым, што зручныя no-code платформы не замяняюць аўдыт бяспекі. Аўтаматычныя праверкі і абяцанні «прастаты» не здымаюць з бізнесу абавязкаў правяраць размежаванне правоў доступу і падзел акаўнтаў перад тым, як давяраць прыкладанню рэальныя дадзеныя карыстальнікаў.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.