تحقيق أمني يكشف ثغرات خطيرة في آلاف التطبيقات المطورة بالذكاء الاصطناعي

كشف تحقيق أمني عن تعرض بيانات شخصية وحساسة لمستخدمي آلاف التطبيقات التي جرى تطويرها عبر منصة Lovable المعتمدة على الذكاء الاصطناعي. بما في ذلك بيانات جوازات السفر ومعلومات الدفع والعناوين البريدية. إلى جانب أكثر من 200 ألف رسالة دردشة. دون الحاجة إلى تسجيل الدخول للوصول إليها.

ووفقًا لما نشرته صحيفة الأعمال الألمانية Handelsblatt. فحص باحثون في شركة الأمن السيبراني الألمانية Crissy Field نحو 159041 مشروعًا أنشئت باستخدام المنصة، ورصدوا حالات متعددة أمكن خلالها الوصول إلى معلومات حساسة دون تسجيل الدخول.

وأوضحت شركة Crissy Field أن 34545 مشروعًا من المشروعات التي خضعت للفحص استخدمت خدمة قواعد البيانات Supabase، التي يجري دمجها بشكل شائع مع منصة Lovable.

ورصد الباحثون 24664 موقعًا إلكترونيًا كانت ترسل سجلات من قواعد البيانات بمجرد تحميل صفحاتها، دون مطالبة المستخدمين بتسجيل الدخول.

ورغم أن بعض البيانات قد تكون مخصصة للعرض العام، فإن طلبات إضافية للقراءة فقط كشفت عن سجلات تتضمن عناوين بريد إلكتروني في 7403 مواقع إلكترونية.

وفي إحدى الحالات الأكثر خطورة، تمكن الباحثون من الوصول إلى أكثر من ألف سجل هوية، تضمنت أرقام جوازات السفر والجنسيات وتواريخ انتهاء صلاحيتها.

كما كشفت تطبيقات أخرى عن معلومات دفع العملاء وأرقام هواتفهم وعناوينهم البريدية ورموز التذاكر دون قيود.

ولم تقتصر البيانات المكشوفة على معلومات الهوية والدفع، بل امتدت إلى عقود وفواتير وألبومات صور شخصية ومراسلات داخلية عبر تطبيق واتساب.

وحذر الباحثون من أن هذه المعلومات قد تُستغل في عمليات التصيد الاحتيالي وسرقة الهوية والاحتيال المرتبط بالتذاكر، إلا أن التحقيق لم يثبت استخدام أي جهة لهذه البيانات بصورة غير مشروعة بالفعل.

وتسلط النتائج الضوء على التحديات الأمنية المرتبطة بمنصات البرمجة المعتمدة على الذكاء الاصطناعي، التي تتيح للمستخدمين إنشاء تطبيقات دون الحاجة إلى خبرة تقنية متخصصة.

ورغم تسهيل منصة Lovable عمليات تطوير التطبيقات، فإن تأمين قواعد البيانات وضبط صلاحيات الوصول إلى المعلومات يظل أمرًا يتطلب إجراءات دقيقة.

ونقلت Handelsblatt عن Lovable أن المشكلة لا تقتصر على منصتها، بل تنتشر على نطاق واسع في قطاع تطوير التطبيقات، مشيرة إلى أن شروط الاستخدام تحمل العملاء مسؤولية التطبيقات التي ينشئونها وطريقة تعاملها مع البيانات.

وفي المقابل، حذرت شركة Crissy Field من اعتبار نتائج التحقيق مؤشرًا مؤكدًا على معدل تسريب البيانات في جميع التطبيقات التي أنشئت باستخدام Lovable.

وأوضحت أن الفحص اعتمد على عينة من المشروعات جُمعت عبر خدمة Common Crawl، ولم يشمل جميع التطبيقات الموجودة على المنصة، كما لم يقم الباحثون بتنزيل قواعد البيانات بالكامل في جميع الحالات.