Един акаунт, пет API заявки и достъп до чужд код, бази данни и чатове с чувствителна информация. Това не е сценарий от CTF, а реален случай с Lovable – платформа за т.нар. vibe coding, оценена на $6.6 млрд. и използвана от екипи в компании като Microsoft и Nvidia. Случаят се превърна в показателен пример как лошо архитектурно решение избор може да прерасне в сериозен пробив в киберсигурността.
Достъп „по дизайн“
Изследовател с псевдоним @weezerOSINT демонстрира, че чрез стандартен безплатен акаунт може да се достъпят:
- сорс код на проекти
- database credentials
- AI чатове с бизнес логика и PII
- реални потребителски данни
Достъпът идва без експлойт или сложна атака – достатъчни са няколко API заявки. Част от засегнатите проекти включват реални организации, с данни за служители и партньори.
Къде е проблемът
Lovable първоначално отрича пробив, обяснявайки, че видимостта е резултат от „public“ настройки. По-късно признава, че документацията е създала объркване и че част от поведението е било „по дизайн“.
„Потребителите споделят какво изграждат, логове, credentials – всичко се съхранява и е било достъпно“, описва изследователят.
Домино ефект в киберсигурността
Този случай показва как една UX концепция може да отключи домино ефект:
- „Public“ означава повече от планираното
- AI чатове се превръщат в източник на чувствителни данни
- credentials попадат в сорс код и логове
- достъпът става масов, а не таргетиран
В резултат, границата между удобство и хак се размива – особено в платформи, които насърчават бързо разработване чрез AI.
Реакцията: урок как комуникацията усилва риска
Lovable преминава през три фази:
- първоначално отричане
- прехвърляне към документация и партньори
- частично признание и корекция
Този модел се повтаря и при други AI платформи, където скоростта на иновация изпреварва зрелостта на сигурността. Подобни реакции увеличават репутационния риск, особено при платформи с enterprise потребители.
Предвид, че и в България масово се използват AI инструменти за ускоряване на разработката – от стартиращи компании до корпоративни IT отдели, този случай трябва да ви накара да си зададете прост въпрос:
Къде свършва продуктивността и започва рискът?
При работа с външни AI платформи, често се споделят:
- вътрешна архитектура
- логове от продукционна среда
- ключове и достъпи
Това превръща подобни инциденти в директно релевантни за локалния пазар.
Заключение: малки решения, големи последствия
Случаят с Lovable показва, че пробивите в киберсигурността рядко започват като „атака“. Често започват като продуктово решение, което изглежда логично в началото.
Основните изводи:
- ясните дефиниции на „public“ и „private“ са критични
- AI инструментите съхраняват повече контекст, отколкото изглежда
- малки UX решения могат да имат системен ефект
Темата остава отворена, особено за организации, които интегрират AI в ежедневната си работа. Ако подобни процеси са част от вашата среда, разговорът за сигурността им тепърва започва.