可爱的应用程序会暴露护照详细信息和超过 20 万条私人消息

Lovable 可以利用 AI 构建令人印象深刻的复杂 Web 项目，从静态网站到具有用户管理和数据库连接的完整应用程序。但是，一旦应用程序处理机密信息，一个问题就变得至关重要：该数据是否受到保护以防止未经授权的访问？ Lovable在其营销中反复强调，构建项目不需要任何技术知识。这会给人一种平台也很重视安全性的印象。然而，Lovable 的条款和条件将应用程序和数据处理的责任归于客户自己。这就在易于使用的一体化服务的承诺与客户应承担的责任之间留下了令人不安的差距。在此背景下，我们与 Handelsblatt 合作调查了 Lovable 应用程序中敏感数据的保护程度。 Lina Knees 于 2026 年 11 月 2 日报告了调查结果（德语）。我们想了解 Lovable 应用程序中的敏感数据是否可以在不登录的情况下访问。我们分别查看了网站首次加载时发送的数据，以及通过使用相同 API 密钥发出进一步只读请求来检查的其他内容。结果：我们发现了许多敏感数据未受保护的明显例子。我们专注于数据库服务 Supabase。它的集成相对容易分析，我们相信它是Lovable项目中使用最广泛的数据库服务。 Lovable 自己的数据库功能于 2025 年末推出，但使用范围仍然较小。类似的错误配置也可能发生在那里，但我们在本次分析中没有检查它们。使用来自开放网络档案 Common Crawl 的数据集，我们识别并分析了 2025 年 12 月至 2026 年 9 月的 159,041 个 Lovable 项目。其中，34,545 人使用 Supabase。 24,664 个网站在加载后立即从 Supabase 发送数据库记录，无需登录或任何其他交互。仅此一点并不是安全问题：数据可能用于公开显示。但通过发出额外的只读请求，我们能够检索更多数据库内容。我们在 24,664 个网站中的 7,403 个网站 (30%) 的 10,560 个表中发现了包含电子邮件地址的记录。电子邮件地址可以帮助识别包含个人数据的记录，但它们也可能是公共联系地址或测试数据。同时，这种方法会丢失不包含电子邮件地址的个人记录。这些影响在一定程度上相互抵消，尽管我们无法确定抵消的程度。因此，30% 的数字不应被视为已确认的数据泄漏率。它仅适用于我们更仔细检查的 24,664 个网站。我们的样本取自 Common Crawl，也不能代表所有 Lovable 应用程序。我们只检索了部分数据集，而不是完整下载它们。下图反映了我们实际下载的记录；受影响的数据集可能包含更多。我们不会发布如何访问它们的详细信息，因为这样做可以使进一步的访问变得更容易。我们发现了许多严重的数据泄露案例，包括： 德国一家生活方式论坛泄露了超过 80,000 份个人资料，其中包含全名、电子邮件地址、出生日期和性别信息。还可以访问超过 200,000 条聊天消息。一些活动组织者和餐馆在无需登录的情况下暴露了数万条与门票和食品销售相关的记录。我们检查的记录包括电子邮件地址、电话号码、邮政地址、付款信息和票证代码。一家物业管理公司曝光了人工智能生成的内部电子邮件摘要，其中包含有关租户、业主和业务合作伙伴的敏感信息。在一个特别严重的案例中，一家服务提供商暴露了 1000 多条包含身份证件详细信息的记录，包括护照号码、有效期和国籍。这些高度敏感的身份详细信息可用于身份盗窃。其他可访问的内容包括数以万计的合同、发票、个人相册和内部 WhatsApp 通信。我们还发现了大量的新闻通讯订阅、等候名单以及联系和支持查询。在一个案例中，发送给提供商客户的 280,000 封电子邮件是可以访问的。根据其包含的内容，此类暴露的数据可能会被用于网络钓鱼、票据欺诈或身份盗窃。我们无法确定其中是否有任何内容被滥用。 《商报》联系了 Lovable，告知我们的调查结果。我们的分析表明，许多 Lovable 应用程序甚至没有保护高度敏感的数据，这可能会给受影响的人带来严重后果。访问控制错误可能发生在任何应用程序中，无论是由人编写还是由人工智能构建。通过 Lovable，数据库集成遵循重复出现的模式，使攻击者更容易在许多应用程序中寻找类似的错误配置。一种对一个人不利的方法