Нет кода — нет защиты: тысячи дырявых вайбкодерских приложений на Lovable сливают паспорта, чаты и другие пользовательские данные
У шведского ИИ-конструктора Lovable, позволяющего собирать веб-приложения простым текстом без навыков программирования, проблемы с сохранностью данных. Совместное расследование экспертов по безопасности Crissy Field и издания Handelsblatt показало, что бескодовая платформа создаёт иллюзию полной защищённости, но на деле конфиденциальная информация пользователей попадает в открытый доступ.
У шведского ИИ-конструктора Lovable, позволяющего собирать веб-приложения простым текстом без навыков программирования, проблемы с сохранностью данных. Совместное расследование экспертов по безопасности Crissy Field и издания Handelsblatt показало, что бескодовая платформа создаёт иллюзию полной защищённости, но на деле конфиденциальная информация пользователей попадает в открытый доступ.
В маркетинге Lovable сделан акцент на то, что для запуска продукта не нужны технические знания. При этом в соглашении ответственность за сохранность данных полностью сгружают на клиентов. Поскольку ИИ генерирует приложения и интеграции с базами данных (в основном Supabase) по стандартным шаблонам, типичные ошибки настройки прав доступа дублируются от проекта к проекту. Это позволяет злоумышленникам находить и ломать чужие сервисы пачками.
Исследователи проанализировали 159 041 проект на Lovable за период с декабря 2025 по сентябрь 2026 года. Интеграцию с Supabase использовали 34,5 тысячи сайтов. При этом более 24,6 тысячи отправляли записи из Supabase сразу при загрузке страницы, не требуя авторизации или каких-либо действий. Само по себе это ещё не брешь в безопасности: данные могут быть предназначены для публичного показа. Но отправка дополнительных запросов на чтение позволила вытянуть гораздо больше: в итоге на 7,4 тысячах сайтов удалось найти более 10,5 тысяч таблиц с емейлами.
Среди найденных слитых данных оказались крайне серьёзные кейсы:
более 80 тысяч профилей немецкого форума с именами, датами рождения и 200 тысяч личных сообщений;
десятки тысяч заказов ресторанов и билетов с платёжными реквизитами, адресами и телефонами;
сгенерированные ИИ выжимки из внутренней переписки управляющей компании о собственниках и жильцах;
более 1 тысячи записей с деталями документов, включая номера паспортов, сроки их действия и гражданство, что открывает прямую дорогу к краже личности;
десятки тысяч счетов, контрактов, личных фотоальбомов, чатов в WhatsApp и база из 280 тысяч клиентов одного из сервисов.
Главный вывод исследования в том, что удобные no-code платформы не заменяют аудит безопасности. Автоматические проверки и обещания «простоты» не снимают с бизнеса обязанности проверять разграничение прав доступа и разделение аккаунтов перед тем, как доверить приложению реальные данные пользователей.
Релоцировались? Теперь вы можете комментировать без верификации аккаунта.