برنامه های دوست داشتنی جزئیات گذرنامه و بیش از 200 هزار پیام خصوصی را در معرض نمایش قرار می دهند

هوش مصنوعی ساخت برنامه های کاربردی وب خود را آسان تر می کند، اما دست زدن به داده های حساس همچنان نیاز به مراقبت ویژه دارد. ما 159041 پروژه دوست داشتنی را بررسی کردیم و موارد زیادی را یافتیم که در آن اطلاعات شخصی و محرمانه بدون ورود به سیستم در دسترس بود.

Lovable یک استارت آپ سوئدی هوش مصنوعی است که در سال 2023 توسط آنتون اوسیکا و فابیان هدین در استکهلم تأسیس شد. این پلتفرم توضیحات زبان ساده را به برنامه های کاربردی وب تبدیل می کند و به گونه ای طراحی شده است که حتی برای افرادی که تجربه برنامه نویسی کمی دارند یا اصلا تجربه ندارند قابل دسترسی باشد.

Lovable از پروژه منبع باز Osika "GPT Engineer" که در سال 2023 منتشر شد رشد کرد. این پروژه قبل از تغییر نام به Lovable در اواخر سال 2024 و راه اندازی عمومی در نوامبر همان سال به برنامه مهندسی GPT تبدیل شد.

Lovable می‌تواند پروژه‌های وب بسیار پیچیده‌ای را با هوش مصنوعی بسازد، از وب‌سایت‌های ثابت گرفته تا برنامه‌های کاربردی کامل با مدیریت کاربر و اتصالات پایگاه داده. اما به محض اینکه یک برنامه کاربردی اطلاعات محرمانه را مدیریت می کند، یک سوال حیاتی می شود: آیا این داده ها در برابر دسترسی غیرمجاز محافظت می شوند؟

Lovable در بازاریابی خود بارها تاکید می کند که برای ساخت پروژه ها به دانش فنی نیاز نیست. این می تواند این تصور را ایجاد کند که پلتفرم از امنیت نیز مراقبت می کند. با این حال، شرایط و ضوابط Lovable مسئولیت برنامه‌ها و مدیریت داده‌ها را بر عهده خود مشتریان می‌گذارد.

این یک شکاف نگران کننده بین وعده یک سرویس همه کاره با استفاده آسان و مسئولیت هایی که مشتریان انتظار دارند بر عهده بگیرند باقی می گذارد.

در مقابل این پس‌زمینه، با همکاری Handelsblatt بررسی کردیم که چگونه داده‌های حساس در برنامه‌های Lovable محافظت می‌شوند. Lina Knees در 2 نوامبر 2026 (به زبان آلمانی) در مورد یافته ها گزارش داد.

ما می‌خواستیم بدانیم که آیا داده‌های حساس در برنامه‌های Lovable بدون ورود به سیستم قابل دسترسی هستند یا خیر. ما به طور جداگانه به داده‌های ارسال شده در هنگام بارگیری یک وب‌سایت و محتوای اضافی که با درخواست‌های فقط خواندنی بیشتر با همان کلید API بررسی می‌کردیم، بررسی کردیم.

نتیجه: نمونه‌های واضح بسیاری از داده‌های حساس را پیدا کردیم که محافظت نشده بودند.

ما روی سرویس پایگاه داده Supabase تمرکز کردیم. تجزیه و تحلیل ادغام آن نسبتا آسان است و ما معتقدیم که پرکاربردترین سرویس پایگاه داده در بین پروژه های Lovable است. ویژگی های پایگاه داده خود Lovable که در اواخر سال 2025 معرفی شد، هنوز کمتر مورد استفاده قرار می گیرد. تنظیمات اشتباه مشابهی ممکن است در آنجا نیز رخ دهد، اما ما آنها را در این تحلیل بررسی نکردیم.

با استفاده از مجموعه داده‌های بایگانی وب باز Common Crawl، ما 159041 پروژه دوست داشتنی را از دسامبر 2025 تا سپتامبر 2026 شناسایی و تجزیه و تحلیل کردیم. از این تعداد 34545 نفر از Supabase استفاده کردند.

24664 وب سایت به محض بارگیری، سوابق پایگاه داده را بدون نیاز به ورود یا هرگونه تعامل دیگری از سوپابیس ارسال کردند. این به تنهایی یک مسئله امنیتی نیست: داده ها ممکن است برای نمایش عمومی در نظر گرفته شوند. اما با درخواست‌های فقط خواندنی اضافی، توانستیم محتوای پایگاه داده بیشتری را بازیابی کنیم. ما رکوردهای حاوی آدرس ایمیل را در 10560 جدول در 7403 از 24664 وب سایت (30٪) پیدا کردیم.

آدرس‌های ایمیل می‌توانند به شناسایی سوابق حاوی داده‌های شخصی کمک کنند، اما ممکن است آدرس‌های تماس عمومی یا داده‌های آزمایشی نیز باشند. در عین حال، این رویکرد سوابق شخصی که حاوی آدرس ایمیل نیستند را از دست می دهد. این تأثیرات تا حدی یکدیگر را خنثی می کنند، اگرچه ما نتوانستیم مشخص کنیم که تا چه حد. بنابراین، رقم 30% نباید به عنوان نرخ نشت داده تایید شده خوانده شود. این فقط برای 24664 وب سایتی که با دقت بیشتری بررسی کردیم اعمال می شود. نمونه ما، که از Common Crawl گرفته شده است، همچنین نماینده همه برنامه های کاربردی دوست داشتنی نیست.

ما فقط بخش‌هایی از مجموعه داده‌ها را به جای دانلود کامل آن‌ها بازیابی کردیم. شکل های زیر منعکس کننده رکوردهایی است که ما در واقع دانلود کرده ایم. مجموعه داده‌های آسیب‌دیده ممکن است حاوی موارد بیشتری باشند. ما جزئیات نحوه دسترسی به آنها را منتشر نمی کنیم، زیرا انجام این کار می تواند دسترسی بیشتر را آسان تر کند.

ما موارد جدی زیادی از داده های در معرض دید پیدا کردیم، از جمله:

یک انجمن سبک زندگی آلمانی بیش از 80000 نمایه حاوی نام کامل، آدرس ایمیل، تاریخ تولد و اطلاعات جنسیت را در معرض دید عموم قرار داد. بیش از 200000 پیام چت نیز در دسترس بود.

چندین سازمان‌دهنده رویداد و رستوران ده‌ها هزار رکورد مربوط به فروش بلیت و غذا را بدون نیاز به ورود به سیستم منتشر کردند. سوابقی که ما بررسی کردیم شامل آدرس ایمیل، شماره تلفن، آدرس پستی، اطلاعات پرداخت و کد بلیط بود.

یک شرکت مدیریت دارایی خلاصه‌ای از ایمیل‌های داخلی ایجاد شده توسط هوش مصنوعی حاوی اطلاعات حساس در مورد مستاجران، صاحبان املاک و شرکای تجاری را افشا کرد.

در یک مورد بسیار جدی، یک ارائه دهنده خدمات بیش از 1000 پرونده حاوی جزئیات اسناد هویتی، از جمله شماره گذرنامه، تاریخ انقضا، و ملیت ها را افشا کرد. این جزئیات هویتی بسیار حساس را می توان برای سرقت هویت استفاده کرد.

سایر محتوای قابل دسترس شامل ده ها هزار قرارداد، فاکتورها، آلبوم های عکس شخصی و ارتباطات داخلی واتس اپ بود.

بسته به محتوای آن، داده های افشا شده مانند این می تواند برای فیشینگ، کلاهبرداری بلیط یا سرقت هویت استفاده شود. ما نتوانستیم مشخص کنیم که آیا از هر یک از آنها سوء استفاده شده است یا خیر.

Handelsblatt برای دریافت یافته های تحقیقات ما با Lovable تماس گرفت.

تجزیه و تحلیل ما نشان می‌دهد که بسیاری از برنامه‌های کاربردی دوست داشتنی حتی داده‌های بسیار حساس را بدون محافظت می‌گذارند و عواقب بالقوه‌ای جدی برای افراد تحت‌تأثیر دارد.

اشتباهات کنترل دسترسی می تواند در هر برنامه ای رخ دهد، چه توسط افراد نوشته شده باشد و چه با هوش مصنوعی ساخته شده باشد. با Lovable، یکپارچه‌سازی پایگاه داده از الگوهای تکرارشونده پیروی می‌کند، که جستجوی پیکربندی‌های اشتباه مشابه در بسیاری از برنامه‌ها را برای مهاجمان آسان‌تر می‌کند. رویکردی که علیه یک برنامه کار می کند، ممکن است با کمی تلاش اضافی بر علیه سایرین کار کند. کاربران بدون پیشینه فنی نیز با کار سخت تری برای شناسایی و جلوگیری از این نقص ها روبرو هستند.

یک پلتفرم توسعه با کاربری آسان، نیاز به بررسی تخصصی مجوزهای دسترسی را قبل از اینکه یک برنامه به داده های محرمانه رسیدگی کند را برطرف نمی کند.

چک های خودکار جایگزین ارزیابی امنیتی حرفه ای نمی شوند.

قبل از اینکه یک برنامه کاربردی داده های واقعی مشتری یا کسب و کار را مدیریت کند، مجوزهای دسترسی، رابط ها و جداسازی آن بین حساب های کاربری باید بررسی شود. این بررسی ها پس از تغییرات قابل توجه باید تکرار شوند. اگر تخصص لازم در داخل در دسترس نیست، پشتیبانی واجد شرایط را بیاورید.

اگر برای ایمن سازی درخواست خود کمک می خواهید، لطفا تماس بگیرید.

توجه: این گزارش تحقیقاتی تجزیه و تحلیل جدیدتر و ارقام به روز شده را در مقایسه با مقاله Handelsblatt منتشر شده در 2 نوامبر 2026 ارائه می دهد.

برای یک مکالمه غیر رسمی تماس بگیرید. ما وضعیت فعلی شما را بررسی خواهیم کرد و برای یافتن راه حل های مناسب با شما همکاری خواهیم کرد.