تواجه منصة «Lovable» المتخصصة في إنشاء التطبيقات والمواقع الإلكترونية باستخدام تقنيات الذكاء الاصطناعي تساؤلات جدية ومخاوف متزايدة بشأن أمن المعلومات، عقب إعلان باحثين أمنيين عن رصد حالات متعددة لتعرض بيانات مستخدمين حساسة دون الحاجة إلى أي تحقق أو تسجيل دخول.
وشملت البيانات المكشوفة وثائق رسمية وأرقام جوازات سفر ومعلومات دفع مالية وسجلات شخصية، إلى جانب أكثر من مئتي ألف رسالة دردشة، مما يسلط الضوء على تحديات أمنية واسعة تواجه منصات البرمجة السريعة المعتمدة على الذكاء الاصطناعي والتي تتيح للمستخدمين بناء برمجيات متكاملة دون الحاجة لخبرات تقنية متقدمة.
وفي تفاصيل الفحص التقني، راجع باحثون في شركة «Crissy Field» للأمن السيبراني عينة ضخمة بلغت نحو 159 ألف مشروع أُنشئ عبر المنصة بالاستعانة بخدمة «Common Crawl». وأظهر الفحص أن نحو 34 ألف مشروع استخدمت خدمة قواعد البيانات «Supabase» الشائعة في التكامل مع المنصة، حيث تبين أن أكثر من 24 ألف موقع إلكتروني كانت ترسل سجلات القواعد بمجرد تحميل صفحاتها الافتراضية ودون مطالبة الزوار بتسجيل الدخول.
ورغم أن وجود قواعد البيانات المفتوحة لا يعكس بالضرورة تسريبًا مباشرًا لبيانات خاصة نظرا لاحتمال وجود محتوى مخصص للعرض العام، فإن الباحثين أجروا طلبات إضافية للقراءة فقط أثبتت وجود عناوين بريد إلكتروني مكشوفة في أكثر من سبعة آلاف موقع.
وفي واحدة من أخطر الحالات المرصودة، كشفت إحدى الخدمات عن ألف سجل هوية كاملة تتضمن أرقام جوازات السفر وجنسيات الأفراد وتواريخ انتهاء الصلاحية. كما تركت تطبيقات أخرى تفاصيل معاملات العملاء وأرقام هواتفهم وعناوينهم السكنية ورموز التذاكر الإلكترونية متاحة للاطلاع دون أي قيود حماية.
ولم تقتصر المعلومات التي رصدها فريق التحقيق على بيانات الهوية والمعاملات المالية، بل امتدت لتشمل عقود عمل وفواتير تجارية وألبومات صور شخصية ومراسلات داخلية عبر تطبيق «تليجرام» و«واتساب». ويحذر مختصون من أن إتاحة هذه البيانات قد تعرض أصحابها لمخاطر التصيد الاحتيالي أو سرقة الهوية، رغم أن التحقيق لم يقدم أدلة قاطعة على استغلال أي جهة لتلك الثغرات فعليًا بشكل غير مشروع.
وفي ردود الفعل الرسمية، أوضحت إدارة المنصة أن هذه المشكلات التقنية لا تعد عيبا خاصا بنظامها فحسب، بل تمثل ظاهرة واسعة الانتشار في قطاع تطوير التطبيقات الحديثة عموما، مؤكدة عبر شروط الاستخدام أن المسؤولية النهائية عن حماية التطبيقات المُنشأة وإدارة أذونات التعامل مع البيانات تقع على عاتق المستخدمين.
من جانبها، دعت شركة «Crissy Field» الأمنية إلى توخي الحذر وعدم تعميم النتائج باعتبارها مؤشرا نهائيا لمعدلات التسريب في جميع تطبيقات المنصة، نظرا لأن الفحص اعتمد على عينة محددة من المشروعات ولم يشمل كافة التطبيقات المتاحة، كما لم يُقدم الباحثون على تحميل قواعد البيانات بأكملها في كل الحالات المرصودة.
