Към съдържанието
Търсене

Хиляди приложения, създадени с изкуствен интелект, изложиха паспорти и данни за плащания

# Германски изследователи откриха паспорти, плащания и хиляди съобщения в незащитени бази данни на над 24 000 приложения, създадени чрез AI платформата Lovable.

Христо Ласков

Христо Ласков работи помежду технологиите, дизайна, бизнеса, сигурността и комуникациите. Създава, разглобява и се опитва да разбере защо нещата работят.

Хиляди приложения, създадени чрез популярната платформа за програмиране с изкуствен интелект Lovable, са оставили публичен достъп до паспортни данни, банкова информация и стотици хиляди лични съобщения. За проблема съобщава изданието Startup Fortune, позовавайки се на анализ на германската изследователска група Crissy Field и вестник Handelsblatt.

Екипът е анализирал 159 041 проекта, изградени между декември 2025 г. и септември 2026 г. От близо 34 500 приложения, използващи платформата Supabase за управление на бекенд и базата данни, над 24 600 са предавали записи без никакво изискване за вход или автентикация. Имейл адреси са били публично достъпни в над 7 400 сайта. Сред откритите данни фигурират над 1000 валидни международни паспорта, банкови карти, поръчки с домашни адреси и над 200 000 лични съобщения от потребителски форум.

Причината за теча се корени във vibe coding – писането на софтуер само чрез гласови или текстови промптове към AI. Моделът автоматично генерира работещ софтуер, но пропуска да конфигурира защитната функция Row Level Security (RLS) в Supabase. Така публичният анонимен ключ предоставя пълен достъп за четене на цялата база данни на всеки, който изпрати заявка.

За да се защитите:

  • активирайте задължително Row Level Security (RLS) във всяка използвана облачна база данни (като Supabase или Firebase);

  • не публикувайте приложения, генерирани от изкуствен интелект, преди ръчен преглед на политиките за достъп и API ключовете;

  • ограничете правата на публичните и анонимните токени само до минимално необходимите публични ресурси.

Източник: startupfortune.com ↗ (нов прозорец)

#Най-четени

  1. Критична XSS уязвимост в PixelYourSite e използвана като вектор за атака срещу български WooCommerce магазини

  2. Международна акция спря Zamunda, ArenaBG и Zelka

  3. AI атака без човек в цикъла: Началото на нов етап в киберсигурността

  4. Когато поканата за „иновативен проект“ всъщност е троянски кон

  5. Масов срив в Cloudflare спря интернет за 6 часа

Още за Инциденти