Додатки Lovable AI відкривали конфіденційні дані у відкритих базах даних

Дослідники з німецької компанії з кібербезпеки Crissy Field перевірили 159,041 проєкт, створений за допомогою Lovable AI, і знайшли конфіденційні дані в базах даних, для доступу до яких не потрібен вхід. Серед відкритих даних були номери паспортів, платіжні дані та понад 200,000 повідомлень чату. Дослідники кажуть, що причиною витоку стали відсутні правила доступу до баз даних, тоді як Lovable AI називає це відомою проблемою налаштування, що впливає на користувачів Supabase.

Що знайшли дослідники

Crissy Field отримала проєкти з веб-архіву Common Crawl, щоб перевірити, що їхні бази даних повернуть незнайомцю без облікових даних. З 34,545 проєктів на Supabase 24,664 повернули записи баз даних без жодної автентифікації. Адреси електронної пошти можна було прочитати на 7,403 сайтах у понад 10,500 таблицях. База даних одного постачальника послуг відкрила понад 1,000 паспортних записів із датами закінчення дії та громадянствами. Організатори подій і ресторани відкрили десятки тисяч замовлень і квитків із адресами електронної пошти, номерами телефонів, поштовими адресами, платіжними даними та кодами квитків. Форум про спосіб життя витік понад 200,000 повідомлень чату та 80,000 профілів користувачів. Компанія з управління нерухомістю відкрила створені штучним інтелектом резюме внутрішніх електронних листів про орендарів, власників нерухомості та ділових партнерів. Серед іншого доступного вмісту були десятки тисяч контрактів, рахунків-фактур, особистих фотоальбомів та внутрішніх повідомлень WhatsApp. Дослідники сказали, що використовували лише той доступ, який кожен сайт надає кожному відвідувачу, із запитами лише для читання та тим самим ключем, який сторінка надає браузеру.

Чому дані виявилися відкритими

Crissy Field сказала, що багато додатків Lovable залишають дуже конфіденційні дані незахищеними, і що зручна платформа для розробки не усуває потреби в експертній перевірці дозволів доступу перед тим, як додаток обробляє конфіденційні дані. Вразливості, здається, походять із неналаштованих або відсутніх правил Row Level Security у серверних базах даних, а не зі зламу самої платформи Lovable AI. Оскільки Lovable AI дає змогу нетехнічним користувачам швидко створювати повностекові додатки за допомогою підказок звичайною мовою, важливі перевірки безпеки часто пропускають. Lovable AI перетворює речення, введене звичайною мовою, на працюючий веб-додаток. Генеральний директор Lovable AI Антон Осіка сказав CNBC цього тижня, що штучний інтелект знижує бар'єри для початку бізнесу.

Відповідь компанії та ширший контекст

Lovable AI є шведським стартапом у сфері штучного інтелекту, заснованим у Стокгольмі у 2023 році. Вона повідомляє про понад 50 мільйонів уже реалізованих проєктів і 1.2 мільйона нових на тиждень. Компанія відповіла на висновки дослідників, також опубліковані в німецькій діловій газеті Handelsblatt, сказавши, що йдеться про відому проблему налаштування загалом у галузі щодо використання Supabase. Окремо компанія з кібербезпеки UpGuard перевірила близько 300,000 доменів із ознаками Supabase і знайшла таблиці, які можна прочитати ззовні, у 16,326 базах даних. За словами UpGuard, понад половина цих випадків містила ознаки персональних даних.

Джерела: Cybernews