אפליקציות Lovable AI חשפו מידע רגיש במסדי נתונים פתוחים

חוקרים מהחברה הגרמנית לאבטחה Crissy Field סרקו 159,041 פרויקטים שנבנו עם Lovable AI ומצאו נתונים רגישים במסדי נתונים שלא דרשו התחברות. המידע שנחשף כלל מספרי דרכון, פרטי תשלום ומעל 200,000 הודעות צ'אט. החוקרים אומרים שהיעדר כללי גישה למסד הנתונים גרם לחשיפה, ואילו Lovable AI אומרת שמדובר בבעיית תצורה ידועה הפוגעת במשתמשי Supabase.

מה שהחוקרים מצאו

Crissy Field משכה את הפרויקטים מארכיון האינטרנט Common Crawl כדי לבדוק מה יחזירו מסדי הנתונים שלהם לזר ללא אישורים. מתוך 34,545 הפרויקטים שרצים על Supabase, 24,664 החזירו רשומות ממסד הנתונים ללא דרישה לאימות. כתובות דוא"ל נראו קריאות ב-7,403 אתרים על פני יותר מ-10,500 טבלאות. מסד הנתונים של ספק שירות אחד חשף מעל 1,000 רשומות דרכון עם תאריכי תפוגה ולאומיות. מארגני אירועים ומסעדות חשפו עשרות אלפי הזמנות וכרטיסים עם דוא"ל, מספרי טלפון, כתובות דואר, פרטי תשלום וקודי כרטיס. פורום סגנון חיים דלף מעל 200,000 הודעות צ'אט ו-80,000 פרופילי משתמשים. חברת ניהול נכסים חשפה סיכומים שנוצרו על ידי AI של מיילים פנימיים על דיירים, בעלי נכסים ושותפים עסקיים. תוכן נגיש נוסף כלל עשרות אלפי חוזים, חשבוניות, אלבומי תמונות אישיים ותקשורת WhatsApp פנימית. החוקרים אמרו שהשתמשו רק בגישה שכל אתר מציע לכל מבקר, עם בקשות קריאה בלבד ובאותו מפתח שהדף מעניק לדפדפן.

מדוע הנתונים נחשפו

Crissy Field אמרה שרבות מאפליקציות Lovable משאירות נתונים רגישים ביותר ללא הגנה, ושפלטפורמת פיתוח קלה לשימוש אינה מבטלת את הצורך בבדיקה מקצועית של הרשאות גישה לפני שאפליקציה מטפלת בנתונים סודיים. הפגיעויות נראות כנובעות מכללי Row Level Security שלא הוגדרו או חסרים במסדי הנתונים העורפיים, ולא מפריצה של פלטפורמת Lovable AI עצמה. מכיוון ש-Lovable AI מאפשרת למשתמשים לא טכניים ליצור אפליקציות full-stack במהירות עם פקודות בשפה פשוטה, בדיקות אבטחה קריטיות מדולגות לעתים קרובות. Lovable AI הופכת משפט שהוקלד בשפה פשוטה לאפליקציית אינטרנט פועלת. מנכ"ל Lovable AI אנטון אוסיקה אמר ל-CNBC השבוע כי ה-AI מסיר חסמים בפני פתיחת עסק.

תגובת החברה והקשר הרחב

Lovable AI היא סטארטאפ AI שוודי שהוקם בסטוקהולם ב-2023. היא מדווחת על מעל 50 מיליון פרויקטים שסופקו כבר ועל 1.2 מיליון חדשים בשבוע. החברה הגיבה לממצאי החוקרים, שפורסמו גם בעיתון העסקי הגרמני Handelsblatt, באומרה שהם מתמודדים עם בעיית תצורה ידועה בכל רחבי התעשייה סביב שימוש ב-Supabase. בנפרד, חברת האבטחה UpGuard בחנה כ-300,000 דומיינים עם סימנים ל-Supabase ומצאה טבלאות הניתנות לקריאה מבחוץ ב-16,326 מסדי נתונים. לפי UpGuard, ביותר ממחצית המקרים היו סימנים לנתונים אישיים.

מקורות: Cybernews