研究分析 15.9 万个 Lovable 项目，发现大量应用未登录即可访问敏感数据
Lovable apps expose passport details and more than 200K private messages
一项与 Handelsblatt 合作的研究分析了 2025 年 12 月至 2026 年 9 月的 159,041 个 Lovable 项目，其中 34,545 个使用 Supabase，24,664 个网站在加载时即返回数据库记录，无需登录。
Lovable：平台上构建的许多应用会暴露敏感数据
AI 让构建自己的 Web 应用变得更容易，但处理敏感数据仍需格外小心。我们检查了 159,041 个 Lovable 项目，发现许多情况下个人和机密信息无需登录即可访问。
关于 Lovable
Lovable 是一家瑞典 AI 初创公司，2023 年由 Anton Osika 和 Fabian Hedin 在斯德哥尔摩创立。该平台可将自然语言描述转化为 Web 应用，其设计目标是让几乎没有或完全没有编程经验的人也能使用。
Lovable 源自 Osika 于 2023 年发布的开源项目“GPT Engineer”。该项目先演变为 GPT Engineer App，后于 2024 年底更名为 Lovable，并于当年 11 月公开发布。
承诺
Lovable 能借助 AI 构建相当复杂的 Web 项目，从静态网站到具备用户管理和数据库连接的完整应用。但一旦应用涉及机密信息，一个问题就变得至关重要：这些数据是否受到保护，免遭未经授权的访问？
在其营销中，Lovable 多次 强调 构建项目无需任何技术知识。这可能给人留下平台也会负责安全的印象。然而，Lovable 的条款与条件将应用和数据处理的责任归于客户自身。
这就留下了一个令人不安的落差：一边是易用的一站式服务承诺，另一边是期望客户承担的责任。
在此背景下，我们与Handelsblatt合作，调查了 Lovable 应用中敏感数据的保护情况。Lina Knees 于 2026 年 11 月 2 日报道了调查结果（德语）。
研究问题
我们想查明 Lovable 应用中的敏感数据是否无需登录即可访问。我们分别考察了网站首次加载时发送的数据，以及我们使用同一 API 密钥发起进一步只读请求所检查的额外内容。
结果：我们发现了许多敏感数据未受保护的明确案例。
方法
我们重点关注数据库服务Supabase。它的集成相对容易分析，而且我们认为它是 Lovable 项目中使用最广泛的数据库服务。Lovable 自有数据库功能于 2025 年底推出，使用范围仍较小。那里也可能出现类似的错误配置，但我们在本次分析中未予检查。
利用开放网络档案Common Crawl的数据集，我们识别并分析了2025 年 12 月至 2026 年 9 月期间的159,041 个 Lovable 项目。其中 34,545 个使用了 Supabase。
24,664 个网站在加载时即发送来自 Supabase 的数据库记录，无需登录或任何其他交互。这本身并非安全问题：这些数据可能本就用于公开展示。但通过发起额外的只读请求，我们得以获取更多数据库内容。我们在 24,664 个网站中的 7,403 个（30%）的10,560 张表中发现了包含电子邮件地址的记录。
局限性
电子邮件地址有助于识别包含个人数据的记录，但它们也可能是公开的联系地址或测试数据。同时，这种方法会漏掉不包含电子邮件地址的个人记录。这些影响在一定程度上相互抵消，尽管我们无法确定抵消的程度。因此，30% 这一数字不应被解读为已确认的数据泄露率。它仅适用于我们更仔细检查的 24,664 个网站。我们的样本取自 Common Crawl，也不代表所有 Lovable 应用。
我们只检索了数据集的部分内容，而非完整下载。以下数字反映的是我们实际下载的记录；受影响的数据集可能包含更多内容。我们不会公布如何访问这些数据集的细节，因为这样做可能会让进一步访问变得更容易。
数据泄露
我们发现了许多严重的暴露数据案例，包括：
一个德国生活方式论坛暴露了超过 80,000 份个人资料，包含全名、电子邮件地址、出生日期和性别信息。超过 200,000 条聊天消息也可被访问。
几家活动组织者和餐厅暴露了数万条与门票和食品销售相关的记录，无需登录即可访问。我们检查的记录包括电子邮件地址、电话号码、邮寄地址、支付信息和门票代码。
一家物业管理公司暴露了 AI 生成的内部电子邮件摘要，其中包含有关租户、业主和业务合作伙伴的敏感信息。
在一个尤为严重的案例中，一家服务提供商暴露了超过 1,000 条包含身份证件详细信息的记录，包括护照号码、有效期和国籍。这些高度敏感的身份信息可能被用于身份盗窃。
其他可访问的内容包括数万份合同、发票、个人相册和内部 WhatsApp 通信。
我们还发现了大量新闻简报订阅、等候名单以及联系和支持咨询。在一个案例中，发送给某提供商客户的280,000 封电子邮件可被访问。
根据其内容，此类暴露数据可能被用于网络钓鱼、门票欺诈或身份盗窃。我们无法确定其中是否有任何数据已被滥用。
Handelsblatt 已将调查结果告知 Lovable。
影响
我们的分析表明，许多 Lovable 应用甚至对高度敏感的数据也未加保护，可能对受影响的人造成严重后果。
访问控制错误可能发生在任何应用中，无论是人工编写还是用 AI 构建。使用 Lovable 时，数据库集成遵循重复出现的模式，使攻击者更容易在许多应用中寻找类似的错误配置。针对一个应用有效的方法，随后可能只需很少的额外努力就能对其它应用奏效。没有技术背景的用户在发现和预防这些缺陷方面也面临更困难的任务。
易于使用的开发平台并不能免除在应用处理机密数据之前对访问权限进行专家审查的必要性。
自动化检查不能替代专业的安全评估。
在应用程序处理真实的客户或业务数据之前，应审查其访问权限、接口以及用户账户之间的隔离。在发生重大变更后，应重复这些检查。如果内部不具备必要的专业知识，应引入合格的支持。
如果您希望帮助保护您的应用程序，请联系我们。
注：与 2026 年 11 月 2 日发布的 Handelsblatt 文章相比，本研究报告提供了更新的分析和最新数据。
联系我们进行非正式交流。我们将了解您的现状，并与您共同寻找合适的解决方案。
来源：Hacker News · crissyfield.de