A RedAccess kiberbiztonsági cég kutatói több mint 5000 mesterséges intelligencia alapú fejlesztőeszközökkel készített webalkalmazást azonosítottak, amelyek gyakorlatilag semmilyen biztonsági védelmet vagy hitelesítést nem tartalmaznak. A vizsgálat a Lovable, Replit, Base44 és Netlify AI-szoftverfejlesztő eszközökkel készült alkalmazásokat érintette.
A kutatás vezetője, Dor Zvi szerint a feltárt alkalmazások mintegy 40%-a érzékeny adatokat tartalmaz, amelyhez bárki hozzáférhet pusztán az alkalmazás webcímének megtalálásával. A kiszivárgó információk között szerepelnek:
- Egészségügyi adatok
- Pénzügyi információk
- Vállalati prezentációk és stratégiai dokumentumok
- Chatbot-ügyfélbeszélgetések részletes naplói
"Ez az egyik legnagyobb esemény, ahol emberek vállalati vagy más érzékeny információkat tesznek közzé a világ bármelyik részéről elérhető módon" - nyilatkozta Zvi. Hozzátette: "A végeredmény az, hogy a szervezetek ténylegesen vállalati adatokat szivárogtatnak ki a vibe-kódolású alkalmazásokon keresztül."
A kutatók meglepően egyszerűen jutottak a sebezhetőségek nyomára. Mivel a Lovable, Replit, Base44 és Netlify lehetővé teszi, hogy a felhasználók az AI cégek saját domainjén hostoljanak alkalmazásokat (nem pedig saját domaineken), egyszerű Google és Bing keresésekkel azonosítottak több ezer sebezhető appot. A keresések során az AI cégek domainjeit kombinálták más keresési kifejezésekkel.
A probléma gyökere abban rejlik, hogy az AI-alapú kódolóeszközök bárki számára lehetővé teszik webalkalmazások létrehozását és publikálását egyetlen kattintással, anélkül hogy bármilyen biztonsági intézkedést építenének be automatikusan. Egyes alkalmazások egyetlen védelmi mechanizmusa csupán annyi volt, hogy a látogatóknak be kellett jelentkezniük bármilyen email címmel - tényleges hitelesítés nélkül.
A felfedezés rávilágít arra, hogy miközben a mesterséges intelligencia egyre inkább átveszi a modern programozók munkáját, a kiberbiztonsági szakértők korábban figyelmeztetett hackelhető hibák bevezetésén túl sokkal súlyosabb probléma is felmerül: a biztonsági intézkedések teljes hiánya, ami még a rendkívül érzékeny vállalati és személyes adatok esetében is előfordul.