تطبيقات Lovable AI تكشف بيانات حساسة في قواعد بيانات مفتوحة

فحص باحثون من شركة Crissy Field الألمانية للأمن 159,041 مشروعًا بُنِيَت باستخدام Lovable AI، ووجدوا بيانات حساسة في قواعد بيانات لا تتطلب تسجيل دخول. شملت المعلومات المكشوفة أرقام جوازات السفر وتفاصيل الدفع وأكثر من 200,000 رسالة دردشة. يقول الباحثون إن غياب قواعد الوصول إلى قاعدة البيانات تسبب في هذا التعرض، بينما تقول Lovable AI إنها مشكلة إعداد معروفة تؤثر على مستخدمي Supabase.

ما وجدَه الباحثون

استخرجت Crissy Field المشاريع من أرشيف Common Crawl على الويب لاختبار ما ستعيده قواعد بياناتهم إلى شخص غريب بدون بيانات اعتماد. من بين 34,545 مشروعًا تعمل على Supabase، أعاد 24,664 سجلات قاعدة بيانات بدون أي مصادقة. ظهرت عناوين البريد الإلكتروني قابلة للقراءة في 7,403 مواقع عبر أكثر من 10,500 جدول. كشفت قاعدة بيانات مزود خدمة واحد أكثر من 1,000 سجل جواز سفر مع تواريخ انتهاء وجنسيات. كشف منظمو الفعاليات والمطاعم عشرات الآلاف من الطلبات والتذاكر مع رسائل البريد الإلكتروني وأرقام الهواتف والعناوين البريدية ومعلومات الدفع ورموز التذاكر. سرب منتدى نمط حياة أكثر من 200,000 رسالة دردشة و 80,000 ملف مستخدم. كشفت شركة إدارة عقارات ملخصات منشأة بالذكاء الاصطناعي لرسائل بريد إلكتروني داخلية عن المستأجرين ومالكي العقارات وشركاء الأعمال. شملت المحتويات الأخرى المتاحة عشرات الآلاف من العقود والفاتورات وألبومات الصور الشخصية والاتصالات الداخلية عبر WhatsApp. قال الباحثون إنهم استخدموا فقط الوصول الذي يقدمه كل موقع لكل زائر، مع طلبات للقراءة فقط والمفتاح نفسه الذي تعطيه الصفحة للمتصفح.

لماذا كُشفت البيانات

قالت Crissy Field إن العديد من تطبيقات Lovable تترك بيانات حساسة للغاية من دون حماية، وأن منصة تطوير سهلة الاستخدام لا تلغي الحاجة إلى مراجعة خبيرة لصلاحيات الوصول قبل أن يتعامل تطبيق مع بيانات سرية. ويبدو أن الثغرات تنشأ من قواعد Row Level Security غير المهيأة أو المفقودة في قواعد البيانات الخلفية، وليس من اختراق منصة Lovable AI نفسها. لأن Lovable AI تمكّن المستخدمين غير التقنيين من إنشاء تطبيقات full-stack بسرعة عبر prompts بلغة عادية، غالبًا ما يتم تخطي مراجعات الأمان المهمة. تحول Lovable AI جملة مكتوبة بلغة عادية إلى تطبيق ويب يعمل. قال الرئيس التنفيذي لـLovable AI، Anton Osika، لـCNBC هذا الأسبوع إن الذكاء الاصطناعي يقلص الحواجز أمام بدء الأعمال.

رد الشركة والسياق الأوسع

Lovable AI شركة ناشئة سويدية للذكاء الاصطناعي تأسست في ستوكهولم عام 2023. تفيد بأنها سلمت أكثر من 50 مليون مشروع بالفعل، و 1.2 مليون مشروع جديد أسبوعيًا. ردت الشركة على نتائج الباحثين، المنشورة أيضًا في الصحيفة الألمانية Handelsblatt، بقولها إنها تتعامل مع مشكلة إعداد معروفة وشاملة للصناعة حول استخدام Supabase. بشكل منفصل، فحصت شركة الأمن UpGuard نحو 300,000 نطاق مع مؤشرات على Supabase ووجدت جداول قابلة للقراءة من الخارج في 16,326 قاعدة بيانات. وفقًا لـUpGuard، احتوت أكثر من نصف هذه الحالات على مؤشرات على بيانات شخصية.

المصادر: Cybernews