Platforma Lovable przypadkowo udostępniła prywatne dane użytkowników AI

Niezamierzona ekspozycja danych na platformie Lovable

Badacz ds. cyberbezpieczeństwa, posługujący się pseudonimem @weezerOSINT, odkrył poważną lukę w platformie Lovable, która umożliwiała dostęp do prywatnych danych użytkowników. Według jego doniesień, za pomocą darmowego konta można było przeglądać źródłowy kod projektów, dane uwierzytelniające baz danych, historie rozmów z modelami AI oraz informacje o klientach innych użytkowników.

Badacz opublikował dowód na platformie X (dawniej Twitter), dołączając zrzut ekranu przedstawiający kod projektu oraz fragmenty prywatnych rozmów innego użytkownika. Problem dotyczył wszystkich projektów utworzonych przed listopadem 2025 roku.

„Stworzyłem konto na Lovable dzisiaj i mogłem uzyskać dostęp do kodu źródłowego innego użytkownika, danych uwierzytelniających bazy danych, historii rozmów z AI oraz danych klientów. Wszystko to było czytelne dla każdego darmowego konta.”

Szybkie wykrycie luki dzięki AI

@weezerOSINT przeprowadził badanie w zaledwie 30 minut, korzystając z modelu xAI Grok 4.2. Jak podkreślił, przed erą AI podobne odkrycia zajmowałyby godziny, a nawet dni. Problem został zgłoszony firmie HackerOne już w marcu 2026 roku, jednak początkowo uznano go za „zachowanie zgodne z intencją platformy”.

Reakcja Lovable i poprawki

Początkowo przedstawiciele Lovable zaprzeczyli wystąpieniu naruszenia danych, twierdząc, że udostępnianie kodu projektów jest celowym działaniem. Według firmy, projekty oznaczone jako „publiczne” miały być widoczne dla innych użytkowników.

Po dalszych wyjaśnieniach okazało się, że problem dotyczył także prywatnych rozmów z AI, które były dostępne dla projektów publicznych. Lovable przyznał, że błąd wynikał z nieprawidłowej konfiguracji uprawnień w systemie. Firma poinformowała, że:

• Zablokowano dostęp do rozmów w projektach publicznych poprzez API;
• W lutym 2026 roku, podczas prac nad ujednoliceniem uprawnień, przypadkowo przywrócono dostęp do tych rozmów;
• Pierwsze oświadczenie firmy było niekompletne i nie odzwierciedlało skali problemu.

Błąd w systemie uprawnień

Lovable przyznał, że dokumentacja dotycząca ustawień „publicznych” była niejasna, co doprowadziło do nieporozumień. Firma podkreśliła, że:

„Nie doszło do naruszenia danych, ale naszym błędem było niedostateczne wyjaśnienie, co oznacza ustawienie »publiczne«. Przepraszamy za niedokładne pierwsze oświadczenie.”

Obecnie Lovable twierdzi, że problem został naprawiony, a dostęp do prywatnych rozmów został zablokowany. Mimo to, incydent podnosi pytania o bezpieczeństwo danych na platformach wykorzystujących AI do generowania kodu.