Lovable AI հավելվածները զգայուն տվյալներ են բացահայտել բաց տվյալների բազաներում

Գերմանական անվտանգության Crissy Field ընկերության հետազոտողները ստուգել են 159,041 Lovable AI-ով ստեղծված նախագծեր և գտել են զգայուն տվյալներ առանց մուտքի պահանջող տվյալների բազաներում։ Բացահայտված տեղեկությունները ներառում էին անձնագրի համարներ, վճարման տվյալներ և ավելի քան 200,000 զրույցի հաղորդագրություններ։ Հետազոտողները ասում են, որ բացահայտումը պայմանավորված է տվյալների բազայի հասանելիության կանոնների բացակայությամբ, իսկ Lovable AI-ն ասում է, որ դա հայտնի կարգավորման խնդիր է, որը վերաբերում է Supabase օգտատերերին։

Ինչ գտան հետազոտողները

Crissy Field-ը նախագծերը վերցրել է Common Crawl վեբ արխիվից՝ ստուգելու, թե ինչ կվերադարձնեն դրանց տվյալների բազաները անծանոթ անձին առանց մուտքի տվյալների։ 34,545 Supabase-ում աշխատող նախագծերից 24,664-ը վերադարձրել են տվյալների բազայի գրառումներ առանց նույնականացման։ Էլ. փոստի հասցեները ընթերցելի էին 7,403 կայքում՝ ավելի քան 10,500 աղյուսակի վրա։ Մեկ ծառայություն մատուցողի տվյալների բազան բացահայտել է ավելի քան 1,000 անձնագրային գրառումներ՝ վավերականության ժամկետներով և քաղաքացիություններով։ Միջոցառումների կազմակերպիչները և ռեստորանները բացահայտել են տասնյակ հազարավոր պատվերներ և տոմսեր՝ էլ. փոստի հասցեներով, հեռախոսահամարներով, փոստային հասցեներով, վճարման տեղեկություններով և տոմսերի կոդերով։ Կենսակերպի ֆորումը արտահոսել է ավելի քան 200,000 զրույցի հաղորդագրություններ և 80,000 օգտատիրոջ պրոֆիլներ։ Գույքի կառավարման ընկերությունը բացահայտել է վարձակալների, գույքի սեփականատերերի և բիզնես գործընկերների մասին ներքին էլ. նամակների AI-ով ստեղծված ամփոփումներ։ Այլ հասանելի բովանդակությունը ներառում էր տասնյակ հազարավոր պայմանագրեր, հաշիվ-ապրանքագրեր, անձնական լուսանկարների ալբոմներ և ներքին WhatsApp հաղորդակցություններ։ Հետազոտողները ասացին, որ օգտագործել են միայն այն հասանելիությունը, որը յուրաքանչյուր կայք տրամադրում է յուրաքանչյուր այցելուին, միայն կարդալու հարցումներով և նույն բանալիով, որը էջը տալիս է բրաուզերին։

Ինչու էին տվյալները բացահայտված

Crissy Field-ը ասաց, որ Lovable բազմաթիվ հավելվածներ շատ զգայուն տվյալներ թողնում են անպաշտպան և որ հեշտ օգտագործման մշակման հարթակը չի վերացնում մասնագիտական վերանայման անհրաժեշտությունը՝ հասանելիության թույլտվությունների համար, նախքան հավելվածը սկսում է աշխատել գաղտնի տվյալների հետ։ Թերությունները, ըստ երևույթին, բխում են մեջտեղային տվյալների բազաներում Row Level Security կանոնների չկարգավորված կամ բացակայող վիճակից, այլ ոչ թե Lovable AI հարթակի հակերային հարձակումից։ Քանի որ Lovable AI-ն թույլ է տալիս ոչ տեխնիկական օգտատերերին արագ ստեղծել full-stack հավելվածներ պարզ լեզվով հուշումներով, կարևոր անվտանգության վերանայումները հաճախ բաց են թողնվում։ Lovable AI-ն պարզ լեզվով մուտքագրված նախադասությունը վերածում է աշխատող վեբ հավելվածի։ Lovable AI-ի գործադիր տնօրեն Անտոն Օսիկան այս շաբաթ CNBC-ին ասաց, որ AI-ը փլուզում է բիզնես սկսելու խոչընդոտները։

Ընկերության պատասխանը և ավելի լայն համատեքստը

Lovable AI-ն շվեդական AI ստարտափ է, հիմնադրված Ստոկհոլմում 2023 թվականին։ Ընկերությունը հայտնում է, որ արդեն տրամադրվել է ավելի քան 50 միլիոն նախագծեր և շաբաթական 1.2 միլիոն նոր։ Ընկերությունը հետազոտողների բացահայտումներին, որոնք նաև հրապարակվել են գերմանական Handelsblatt բիզնես օրաթերթում, պատասխանեց՝ ասելով, որ նրանք աշխատում են հայտնի, ոլորտային կարգավորման խնդրի վրա՝ կապված Supabase-ի օգտագործման հետ։ Առանձին, UpGuard անվտանգության ընկերությունը ուսումնասիրել է շուրջ 300,000 Supabase-ի նշաններ ունեցող դոմեն և պարզել, որ 16,326 տվյալների բազայում աղյուսակները ընթերցելի են դրսից։ UpGuard-ի համաձայն՝ այս դեպքերի ավելի քան կեսում առկա էին անձնական տվյալների նշաններ։

Աղբյուրներ՝ Cybernews