Lovable AI uygulamaları açık veritabanlarında hassas verileri ortaya çıkardı

Alman güvenlik şirketi Crissy Field araştırmacıları 159.041 Lovable AI projesini taradı ve giriş gerektirmeyen veritabanlarında hassas veriler buldu. Ortaya çıkan bilgiler pasaport numaralarını, ödeme bilgilerini ve 200.000'den fazla sohbet mesajını içeriyordu. Araştırmacılar veri açığının veritabanı erişim kurallarının eksik olmasından kaynaklandığını söylüyor; Lovable AI ise bunun Supabase kullanıcılarını etkileyen bilinen bir yapılandırma sorunu olduğunu söylüyor.

Araştırmacılar ne buldu

Crissy Field, veritabanlarının kimlik bilgisi olmayan bir yabancıya ne döndüreceğini test etmek için projeleri Common Crawl web arşivinden çekti. Supabase üzerinde çalışan 34.545 projeden 24.664'ü hiç kimlik doğrulama gerektirmeden veritabanı kayıtları döndürdü. 7.403 sitede 10.500'den fazla tabloda e-posta adresleri okunabilir durumdaydı. Bir hizmet sağlayıcının veritabanı son kullanma tarihleri ve uyruklarla birlikte 1.000'den fazla pasaport kaydını açığa çıkardı. Etkinlik düzenleyicileri ve restoranlar e-postalar, telefon numaraları, posta adresleri, ödeme bilgileri ve bilet kodlarıyla on binlerce sipariş ve bileti açığa çıkardı. Bir yaşam tarzı forumu 200.000'den fazla sohbet mesajını ve 80.000 kullanıcı profilini sızdırdı. Bir emlak yönetim şirketi kiracılar, mülk sahipleri ve iş ortakları hakkında dahili e-postaların yapay zekâ tarafından üretilmiş özetlerini açığa çıkardı. Erişilebilir diğer içerikler on binlerce sözleşme, fatura, kişisel fotoğraf albümü ve dahili WhatsApp iletişimlerini içeriyordu. Araştırmacılar yalnızca her ziyaretçiye sunulan erişimi kullandıklarını, salt okunur istekler yaptıklarını ve sayfanın tarayıcıya verdiği aynı anahtarı kullandıklarını söyledi.

Veriler neden açığa çıktı

Crissy Field, birçok Lovable uygulamasının son derece hassas verileri korumasız bıraktığını ve kullanımı kolay bir geliştirme platformunun, bir uygulama gizli verileri işleden önce erişim izinlerinin uzman incelemesi ihtiyacını ortadan kaldırmadığını söyledi. Güvenlik açıkları, Lovable AI platformunun kendisine yapılan bir saldırıdan ziyade arka uç veritabanlarındaki yapılandırılmamış veya eksik Satır Düzeyi Güvenlik kurallarından kaynaklanıyor gibi görünüyor. Lovable AI, teknik olmayan kullanıcıların düz dildeki komutlarla full-stack uygulamaları hızlıca oluşturmasına izin verdiği için önemli güvenlik incelemeleri çoğu zaman atlanıyor. Lovable AI, düz dilde yazılan bir cümleyi çalışan bir web uygulamasına dönüştürür. Lovable AI CEO Anton Osika bu hafta CNBC'ye yapay zekânın iş kurma engellerini ortadan kaldırdığını söyledi.

Şirketin yanıtı ve daha geniş bağlam

Lovable AI, Stockholm'de 2023 yılında kurulan İsveçli bir yapay zekâ girişimidir. Şirket 50 milyondan fazla projenin zaten teslim edildiğini ve haftada 1,2 milyon yenisinin eklendiğini bildiriyor. Şirket, bulguları Alman iş gazetesi Handelsblatt'ta da yayımlanan araştırmacılara verdiği yanıtta Supabase kullanımına ilişkin bilinen, sektör çapında bir yapılandırma sorunuyla uğraştıklarını söyledi. Ayrı olarak güvenlik şirketi UpGuard yaklaşık 300.000 Supabase göstergesi taşıyan alan adını inceledi ve 16.326 veritabanında dışarıdan tabloların okunabildiğini buldu. UpGuard'a göre bu durumların yarısından fazlası kişisel verilere işaret ediyordu.

Kaynaklar: Cybernews