Wpadka w Lovable: Darmowe konto otworzyło drzwi do sekretów Nvidii i Microsoftu
Darmowe konto, cudze sekrety
Wystarczyło założyć darmowe konto, by wejść do serca systemów Nvidii, Microsoftu, Ubera czy Spotify. To nie jest scenariusz z filmu o cyberprzestępcach, ale rzeczywistość platformy Lovable – narzędzia do budowania aplikacji przy pomocy AI, które właśnie zaliczyło spektakularne zderzenie z brutalną praktyką bezpieczeństwa webowego.
Anatomia wpadki: IDOR wraca z zaświatów
Techniczny fundament ataku był prymitywny: podatność IDOR (Insecure Direct Object Reference). Napastnik mógł odpytywać API o projekty dowolnego użytkownika bez żadnej autoryzacji. W efekcie na talerzu podano kody źródłowe, historie czatów z modelem AI oraz – co najbardziej przerażające – dane logowania do baz danych.
Najciekawszy jest jednak element deja vu.
Lovable twierdzi, że problem dostępu do kodu załatano już w 2025 roku. Niestety, podczas rutynowego patchowania w 2026 roku, programiści przypadkowo przywrócili lukę, czyniąc prywatne repozytoria ponownie publicznymi dla każdego, kto wiedział, jak o nie zapytać.
HackerOne: Ślepa strażnica bezpieczeństwa
Ten incydent to akt oskarżenia przeciwko obecnym standardom Bug Bounty. Haker zgłosił błąd przez platformę HackerOne, gdzie został odprawiony z kwitkiem. Werdykt? Duplikat. Zero nagrody, zero zainteresowania, „have a nice day”.
Badacz czekał 48 dni. Kiedy zrozumiał, że nikt nie zamierza realnie zareagować na krytyczne zagrożenie, opublikował dowody na platformie X. Dopiero wtedy machina ruszyła.
Lanie wody w oficjalnych komunikatach
Reakcja PR-owa Lovable to podręcznikowy przykład minimalizowania strat wizerunkowych kosztem precyzji:
- Twierdzenie o „załataniu luki w dwie godziny” liczy się od momentu publikacji posta na Twitterze, a nie od pierwszego zgłoszenia.
- Określenie napastnika jako „uwierzytelnionego użytkownika” brzmi profesjonalnie, dopóki nie uświadomimy sobie, że taką autoryzację uzyska każdy, kto posiada adres e-mail.
Zamiast rzetelnej analizy otrzymaliśmy obietnicę, że Lovable… przeszkoli pracowników HackerOne z obsługi błędów.
Sceptycznym okiem: AI nie wybacza pośpiechu
W wyścigu o miano „najszybszej platformy no-code” bezpieczeństwo po raz kolejny stało się opcjonalnym dodatkiem. Jeśli giganci tacy jak Microsoft powierzają swoje intelektualne IP startupom budowanym na szybkości, muszą liczyć się z „vibe-chaosem”.
Dla administratorów i deweloperów płynie stąd jedna lekcja: zabezpieczanie systemów to proces, nie zdarzenie. Jeśli chcesz uniknąć amatorskich błędów Lovable, czas na solidną dawkę wiedzy o bezpiecznym wdrażaniu AI w infrastrukturę.
