Lovable platformında istifadəçilərin AI ilə söhbət tarixlərinin açıqlanması problemi

Tədqiqatçının kəşfi: Lovable istifadəçilərin gizli məlumatlarını açıqladı

Tədqiqatçı @weezerOSINT, vibe-coding platforması olan Lovable istifadəçilərinin AI modelləri ilə söhbət tarixlərinin digər istifadəçilər tərəfindən API vasitəsilə ələ keçirilə bildiyini müəyyənləşdirdi. Tədqiqatçı bu barədə məlumatı 2026-cı il aprelin 20-də X platformasında paylaşdı.

"Mən bu gün Lovable-də hesab yaratdım və digər istifadəçinin mənbə koduna, verilənlər bazası məlumatlarına, AI ilə söhbət tarixlərinə və müştəri məlumatlarına pulsuz hesabdan belə daxil ola bildim."

Paylaşılan mesajda həmçinin Lovable istifadəçilərindən birinin layihə kodunun və söhbət tarixlərinin ekran görüntüsü, həmçinin bu problemi həll etməyən ticket göstərilmişdir. Lovable-də 2025-ci ilin noyabrından əvvəl yaradılmış bütün layihələrdə bu cür məlumatların açıqlanması problemi mövcuddur.

Tədqiqatın aparılması üçün AI-dən istifadə edildi

@weezerOSINT, tədqiqatı xAI-nin Grok 4.2 modelindən istifadə etməklə cəmi 30 dəqiqəyə həyata keçirmişdir. Tədqiqatçı qeyd etmişdir ki, əvvəllər belə problemləri tapmaq üçün saatlar və ya günlər lazım gəlirdi. Tədqiqatçı problemi HackerOne platforması vasitəsilə martın əvvəllərində bildirmişdir.

Lovable-in rəsmi mövqeyi

Lovable şirkəti problemin həlli ilə bağlı rəsmi şəxs təyin etməkdən imtina etmişdir. Şirkət öz mövqeyini X platformasında yayımlamışdır. İlk dəfə Lovable, heç bir "məlumat sızması" olmadığını və layihə kodunun açıqlanmasının "məqsədəuyğun davranış" olduğunu bildirmişdir. Şirkət qeyd etmişdir ki, istifadəçilər layihələrini "ictimai" olaraq qeyd etdikdə, kod digər istifadəçilər tərəfindən görünür olur.

"Biz məlumat sızması haqqında məlumat almışıq. 'İctimai' anlayışının sənədləşdirilməsi qeyri-müəyyən idi və bu bizim səhvimizdir."

Lakin bu, istifadəçilərin AI ilə söhbət tarixlərinin açıqlanmasını nəzərə almırdı. Lovable sonradan açıqlamasında bildirmişdir ki, API-də dəyişikliklər edərək, ictimai layihələrdəki söhbət tarixlərinin digər istifadəçilər tərəfindən görülməsinin qarşısını almışdır. Şirkət qeyd etmişdir:

"Təəssüf ki, fevral ayında backend-də icazələrin birləşdirilməsi zamanı biz təsadüfən ictimai layihələrdəki söhbət tarixlərinin yenidən görünməsinə səbəb olduq."

HackerOne-dan cavab

@weezerOSINT-in martın əvvəllərində HackerOne-a bildirdiyi ticket, şirkətin tərəfdaşları tərəfindən "ictimai layihələrdəki söhbət tarixlərinin görünməsi məqsədəuyğun davranışdır" deyə bağlanmışdır. Lovable, vibe-coding platforması olaraq, kodun yaradılmasında istifadə olunan təbii dildə sorğuları əsas hissə hesab edir.

Problemin nəticələri və Lovable-in addımları

• Məlumatların açıqlanması: 2025-ci ilin noyabrından əvvəl yaradılmış bütün layihələrdə istifadəçilərin AI ilə söhbət tarixləri və digər gizli məlumatlar digər istifadəçilər tərəfindən ələ keçirilmişdir.
• Lovable-in cavabı: Şirkət əvvəlcə problemi qəbul etməmişdir, lakin sonradan API-də düzəlişlər apararaq problemi həll etmişdir.
• Tədqiqatın sürəti: AI modellərinin istifadə edilməsi nəticəsində tədqiqat cəmi 30 dəqiqəyə həyata keçirilmişdir.