Lovable AI-ს აპებში მგრძნობიარე მონაცემები ღია ბაზებში აღმოჩნდა

გერმანული უსაფრთხოების ფირმა Crissy Field-ის მკვლევრებმა Lovable AI-ით შექმნილი 159 041 პროექტი შეამოწმეს და მგრძნობიარე მონაცემები იპოვეს ბაზებში, სადაც შესვლა არ იყო საჭირო. გამჟღავნებულ ინფორმაციაში იყო პასპორტის ნომრები, გადახდის დეტალები და 200 000-ზე მეტი ჩატის შეტყობინება. მკვლევრების თქმით, გამჟღავნება ბაზის წვდომის წესების არარსებობამ გამოიწვია, Lovable AI-ის განცხადებით კი საქმე Supabase-ის მომხმარებლებისთვის ცნობილ კონფიგურაციის პრობლემას ეხება.

რა აღმოაჩინეს მკვლევრებმა

Crissy Field-მა პროექტები Common Crawl-ის ვებ-არქივიდან ამოიღო, რათა შეემოწმებინა, რას დაუბრუნებდა ბაზები უცნობ პირს ავტორიზაციის მონაცემების გარეშე. Supabase-ზე მომუშავე 34 545 პროექტიდან 24 664-მა ბაზის ჩანაწერები დააბრუნა ისე, რომ ავთენტიფიკაცია არ იყო საჭირო. ელფოსტის მისამართები წაკითხვადი იყო 7 403 საიტზე, 10 500-ზე მეტ ცხრილში. ერთი მომსახურების კომპანიის ბაზამ 1 000-ზე მეტი პასპორტის ჩანაწერი გამოამჟღავნა მოქმედების ვადებითა და მოქალაქეობებით. ღონისძიებების ორგანიზატორებმა და რესტორნებმა გამოამჟღავნეს ათიათასობით შეკვეთა და ბილეთი ელფოსტებით, ტელეფონის ნომრებით, საფოსტო მისამართებით, გადახდის ინფორმაციითა და ბილეთის კოდებით. ცხოვრების სტილის ფორუმმა გამოამჟღავნა 200 000-ზე მეტი ჩატის შეტყობინება და 80 000 მომხმარებლის პროფილი. ქონების მართვის კომპანიამ გამოამჟღავნა ხელოვნური ინტელექტით შექმნილი შიდა ელფოსტების შეჯამებები მოიჯარეებზე, ქონების მფლობელებსა და ბიზნეს-პარტნიორებზე. სხვა ხელმისაწვდომ მასალაში იყო ათიათასობით კონტრაქტი, ინვოისი, პირადი ფოტოალბომი და შიდა WhatsApp-კომუნიკაციები. მკვლევრებმა განაცხადეს, რომ გამოიყენეს მხოლოდ ის წვდომა, რომელსაც თითოეული საიტი ყველა ვიზიტორს სთავაზობს, მხოლოდ წაკითხვის მოთხოვნებითა და იმავე გასაღებით, რომელსაც გვერდი ბრაუზერს აძლევს.

რატომ გამჟღავნდა მონაცემები

Crissy Field-ის თქმით, ბევრი Lovable-აპლიკაცია მაღალმგრძნობიარე მონაცემებს დაუცველად ტოვებს და მარტივად გამოყენებადი დეველოპმენტ-პლატფორმა არ აუქმებს ექსპერტული შემოწმების საჭიროებას წვდომის უფლებებზე, სანამ აპლიკაცია კონფიდენციალურ მონაცემებთან იმუშავებს. ხარვეზები, როგორც ჩანს, არა თვით Lovable AI-ის პლატფორმის გატეხვის, არამედ სერვერის მონაცემთა ბაზებში დაუკონფიგურებული ან არარსებული Row Level Security-ის წესების შედეგია. რადგან Lovable AI არატექნიკურ მომხმარებლებს მარტივი ენით დაწერილი მითითებებით სრულფუნქციური აპლიკაციების სწრაფად შექმნის საშუალებას აძლევს, მნიშვნელოვან უსაფრთხოების შემოწმებებს ხშირად გამოტოვებენ. Lovable AI მარტივი ენით აკრეფილ წინადადებას მუშა ვებ-აპლიკაციად აქცევს. Lovable AI-ის აღმასრულებელმა დირექტორმა ანტონ ოსიკამ CNBC-ს ამ კვირაში განუცხადა, რომ AI ბიზნესის დაწყების ბარიერებს ანგრევს.

კომპანიის პასუხი და უფრო ფართო კონტექსტი

Lovable AI სტოკჰოლმში 2023 წელს დაარსებული შვედური AI-სტარტაპია. კომპანიის ცნობით, უკვე 50 მილიონზე მეტი პროექტია შექმნილი და კვირაში 1,2 მილიონი ახალი ემატება. კომპანიამ მკვლევრების დასკვნებზე, რომლებიც გერმანულ ბიზნეს-გაზეთ Handelsblatt-შიც გამოქვეყნდა, უპასუხა, რომ საქმე Supabase-ის გამოყენების გარშემო ცნობილ და ინდუსტრიაში გავრცელებულ კონფიგურაციის პრობლემას ეხება. ცალკე, უსაფრთხოების კომპანია UpGuard-მა Supabase-ის ნიშნებიანი დაახლოებით 300 000 დომენი შეამოწმა და 16 326 ბაზაში ცხრილები გარედან წაკითხვადი აღმოაჩინა. UpGuard-ის მიხედვით, ამ შემთხვევების ნახევარზე მეტში პირადი მონაცემების ნიშნები იყო.

წყაროები: Cybernews