Lovable ile yapılan 159.041 uygulamanın taranmasında açığa çıkan pasaport verileri ve 200.000'den fazla sohbet mesajı

Yapay zekâ uygulama geliştiricisi Lovable ile geliştirilen uygulamalar üzerinde yapılan geniş kapsamlı bir güvenlik incelemesinde, pasaport numaraları ve 200.000'den fazla özel sohbet mesajı dahil olmak üzere hassas kişisel bilgilerin giriş yapmadan herkes tarafından erişilebilir olduğu ortaya çıktı. Bulgular, Crissy Field'teki güvenlik araştırmacılarının yürüttüğü ve sonuçları ilk kez 2 Kasım 2026'da raporlayan Alman gazetesi Handelsblatt ile birlikte yapılan bir incelemeden geliyor. Yayınlanan rapor, güncellenmiş rakamlarla daha yeni bir analiz içeriyor.

Neler tarandı

Lovable, 2023'te Stockholm'de Anton Osika ve Fabian Hedin tarafından kurulan, doğal dilde yazılan açıklamaları, kullanıcı yönetimi ve veritabanı bağlantıları olan uygulamalar dahil çalışan web uygulamalarına dönüştüren bir İsveç girişimi. Osika'nın açık kaynak GPT Engineer projesinden doğan şirket, 2024 sonunda adını değiştirdi ve o Kasım ayında halka açık şekilde piyasaya sürüldü.

Araştırmacılar, Aralık 2025'ten Eylül 2026'ya kadar olan dönemi kapsayan Common Crawl web arşivi veri kümeleri üzerinden çalışarak 159.041 Lovable projesi tespit etti; bunların 34.545'i Supabase veritabanı servisini kullanıyordu. Supabase'e odaklanmalarının nedeni, entegrasyonunun görece analiz edilmesinin kolay olması ve kendi değerlendirmelerine göre Lovable projeleri arasında en yaygın kullanılan veritabanı olması. 2025 sonunda kullanıma sunulan Lovable'ın kendi veritabanı özellikleri incelenmedi; ancak rapor, benzer yanlış yapılandırmaların orada da görülebileceğini belirtiyor.

Araştırmacılar ne buldu

Supabase kullanan projelerden 24.664 web sitesi, yüklenir yüklenmez — giriş veya etkileşim gerektirmeden — veritabanı kayıtlarını sunuyordu. Araştırmacılar, bunun tek başına bir güvenlik sorunu olmadığını, verilerin yalnızca herkese açık gösterim için tasarlanmış olabileceğini belirtiyor. Ancak aynı API anahtarıyla ek salt-okunur istekler göndererek ilave veritabanı içeriği çekebildiler. Bu 24.664 web sitesinden 7.403'ündeki (yüzde 30) toplam 10.560 tabloda, elde edilen kayıtlar e-posta adresleri içeriyordu.

Rapor, yüzde 30 oranına dair temkinli: E-postalar herkese açık iletişim adresleri veya test verileri olabilir; ayrıca yöntem, hiç e-posta adresi içermeyen kişisel kayıtları gözden kaçırıyor. İki etki, araştırmacıların nicelendiremediği biçimlerde birbirini kısmen dengelediğinden, bu sayı doğrulanmış bir sızma oranı olarak okunmamalı. Common Crawl örnekleminin tüm Lovable uygulamalarını temsil etmediği ve her veri kümesinin yalnızca belirli bölümlerinin indirildiği de düşünülürse, gerçek toplamlar daha büyük olabilir. Verilere nasıl erişildiğine dair ayrıntılar ise bilinçli olarak açıklanmadı.

Belirli vakalar

Raporda belgelenen ciddi vakalardan bazıları şunlar:

• Alman bir yaşam tarzı forumu, tam adlar, e-posta adresleri, doğum tarihleri ve cinsiyet bilgisi içeren 80.000'den fazla profilin yanı sıra 200.000'den fazla sohbet mesajını açığa çıkardı.
• Bir servis sağlayıcı, pasaport numaraları, son kullanma tarihleri ve uyruklar dahil kimlik belgesi ayrıntıları içeren 1.000'den fazla kaydı açığa çıkardı; rapor bu bilgileri kimlik hırsızlığı için doğrudan kullanılabilir olarak işaretliyor.
• Birkaç etkinlik organizatörü ve restoran, e-posta adresleri, telefon numaraları, posta adresleri, ödeme bilgileri ve bilet kodları içeren on binlerce bilet ve yemek satış kaydını açığa çıkardı.
• Bir gayrimenkul yönetim şirketi, kiracılar, mülk sahipleri ve iş ortaklarına dair hassas bilgiler içeren iç e-postaların yapay zekâ ile üretilmiş özetlerini açığa çıkardı.
• Erişilebilen diğer içerikler arasında on binlerce sözleşme ve fatura, kişisel fotoğraf albümleri, dahili WhatsApp yazışmaları ve bir vakada bir sağlayıcının müşterilerine gönderilen 280.000 e-posta yer aldı.

Araştırmacılar, içeriğe bağlı olarak bu tür verilerin kimlik avı, bilet dolandırıcılığı veya kimlik hırsızlığına olanak tanıyabileceğini yazıyor; verilerin herhangi birinin halihazırda kötüye kullanılıp kullanılmadığını tespit edemediler. Handelsblatt bulguları Lovable'a iletti.

Bu sızıntılar neden kümeleşiyor

Rapor, erişim kontrolü hatalarının ister elle ister yapay zekâ ile üretilmiş olsun her uygulamada yaşanabileceğini kabul ediyor. Ancak Lovable'da sorunu büyüten iki etken tespit ediyor. Birincisi, veritabanı entegrasyonları yinelenen kalıplar izliyor; bu nedenle bir uygulamaya karşı işe yarayan bir yaklaşım, pek çok başka uygulamaya da ek çaba harcanmadan uygulanabiliyor. İkincisi, Lovable'ın pazarlaması proje geliştirmek için teknik bilgi gerektiğini vurgularken — bu, platformun güvenliği de yönettiği izlenimi yaratabiliyor — kullanım koşulları, uygulamalardan ve veri yönetiminden sorumlu tutulan tarafın müşteriler olduğunu belirtiyor. Bu kullanım kolaylığıyla çekilen kullanıcılar, yanlış yapılandırılmış izinleri fark etmeye veya düzeltmeye en az donanımlı olan kesim.

Neden önemli

Bu tarama, yapay zekâ araçları yazılım geliştirme engelini ortadan kaldırırken onu çalıştırma sorumluluğunu ortadan kaldırmadığında ne olduğunun şimdiye kadarki en net gösterimlerinden biri. Gerçek insanların pasaportları, ödeme bilgileri ve özel yazışmaları yabancılar tarafından okunabilir hale geldi; kimlik hırsızlığı ve dolandırıcılık yoluyla doğrudan zarar potansiyeli var. Raporun vardığı sonuç Lovable'ın ötesinde de geçerli: Kullanımı kolay bir geliştirme platformu, bir uygulama gizli verileri işlemeden önce erişim izinlerinin uzman gözüyle incelenmesinin yerini tutmaz; otomatik kontroller profesyonel bir güvenlik değerlendirmesinin yerini tutmaz ve bu incelemelerin önemli değişikliklerden sonra tekrarlanması gerekir. Yapay zekâ ile üretilen uygulamalar çoğaldıkça, bu inceleme adımı araçların sözünü veremeyeceği tek kısım olmaya devam ediyor.