Исследование: во многих приложениях на Lovable чувствительные данные доступны без входа
Исследователи проанализировали 159 041 проект на шведской ИИ-платформе Lovable и нашли много случаев, когда личные и конфиденциальные данные были доступны без авторизации. Среди них — паспортные данные и более 200 000 сообщений чата.
Исследователи немецкой компании Crissyfield совместно с газетой Handelsblatt проверили, насколько хорошо защищены данные в приложениях, созданных на Lovable. Это шведская платформа на основе искусственного интеллекта, основанная в Стокгольме в 2023 году: она превращает описание обычными словами в веб-приложения, в том числе для людей с небольшим опытом программирования или вовсе без него. Исследование показывает, что многие такие приложения оставляют без защиты даже очень чувствительную информацию.
Как проводилась проверка
Исследователи использовали данные открытого веб-архива Common Crawl и проанализировали 159 041 проект Lovable за период с декабря 2025 года по сентябрь 2026 года. Из них 34 545 использовали сервис баз данных Supabase. Всего 24 664 сайта отправляли записи Supabase сразу при загрузке, не требуя входа. С помощью дополнительных запросов только на чтение в 10 560 таблицах на 7403 из этих сайтов (30 %) нашли записи с адресами электронной почты.
Авторы подчёркивают, что 30 % — не подтверждённая доля утечек: адреса могут быть публичными контактами или тестовыми данными, а выборка нерепрезентативна для всех приложений Lovable. Наборы данных загружались лишь частично.
Что было доступно
Немецкий форум о стиле жизни раскрыл более 80 000 профилей с полными именами, адресами электронной почты, датами рождения и полом, а также более 200 000 сообщений чата. Организаторы мероприятий и рестораны открыли десятки тысяч записей о продаже билетов и еды с адресами почты, телефонами, почтовыми адресами, платёжной информацией и кодами билетов. Один поставщик услуг раскрыл более 1000 записей с данными удостоверений личности, включая номера паспортов, сроки действия и гражданство.
Также были доступны десятки тысяч договоров и счетов, личные фотоальбомы, внутренняя переписка в WhatsApp и в одном случае 280 000 писем клиентам поставщика. Установить, использовались ли данные во вред, исследователи не смогли.
Ответственность
Условия использования Lovable возлагают ответственность за приложения и обработку данных на клиентов. Исследователи советуют, чтобы специалисты проверяли права доступа до начала работы приложения с реальными данными и повторяли проверку после значимых изменений. Handelsblatt направила Lovable результаты исследования.