關(guān)鍵詞

數(shù)據(jù)泄露

近日，瑞典 AI 編程初創(chuàng)公司 Lovable 因一起數(shù)據(jù)安全事件再次引發(fā)行業(yè)關(guān)注。一位 X 平臺(tái)用戶（用戶名 "Impulsive"）周一指出，該公司存在大規(guī)模數(shù)據(jù)泄露問題，影響范圍涵蓋 "2025 年 11 月之前創(chuàng)建的所有項(xiàng)目 "。該用戶聲稱，通過其免費(fèi)賬戶能夠訪問另一位用戶的代碼、AI 聊天記錄以及客戶數(shù)據(jù)。

更令人擔(dān)憂的是，英偉達(dá)、微軟、優(yōu)步和 Spotify 等知名企業(yè)的員工賬號(hào)也被波及。據(jù)稱，這一漏洞早在 48 天前便被報(bào)告，但 Lovable 將其標(biāo)記為重復(fù)問題并保持開放狀態(tài)。

對(duì)此，Lovable 回應(yīng)稱，查看公共項(xiàng)目的代碼是其設(shè)計(jì)初衷，并非數(shù)據(jù)泄露。然而，在公眾對(duì)其信息透明度的強(qiáng)烈質(zhì)疑下，該公司隨后發(fā)布第二份聲明承認(rèn)了安全錯(cuò)誤。聲明中提到，"2 月份在統(tǒng)一后端權(quán)限時(shí)，我們意外重新啟用了對(duì)公共項(xiàng)目聊天的訪問權(quán)限。" 發(fā)現(xiàn)問題后，Lovable 立即撤銷了更改，并感謝研究人員的反饋。

盡管部分用戶認(rèn)可 Lovable 的透明態(tài)度，但也有批評(píng)聲音認(rèn)為其最初的回應(yīng)類似 " 精神操控 "。安全專家湯姆 · 范 · 德 · 維爾指出，此次事件反映了 " 缺乏安全默認(rèn)設(shè)置以及未能為自動(dòng)化和 AI 時(shí)代進(jìn)行威脅建模 " 的問題。他強(qiáng)調(diào)，依賴用戶理解公開與私密內(nèi)容的區(qū)別 " 最終總是會(huì)失敗 "。

ESET 全球網(wǎng)絡(luò)安全顧問杰克 · 摩爾則認(rèn)為，關(guān)于是否構(gòu)成傳統(tǒng)意義上的數(shù)據(jù)泄露的爭(zhēng)論可能忽略了更大的風(fēng)險(xiǎn)。" 本質(zhì)上更像是一種設(shè)計(jì)缺陷，因?yàn)閿?shù)據(jù)被暴露而不是被黑客攻擊。" 他還補(bǔ)充道，" 當(dāng)一家公司爭(zhēng)論語義而非影響時(shí)，通常意味著從第一天起就沒有將安全性納入其中。"

氛圍編程的風(fēng)險(xiǎn)權(quán)衡

專業(yè)開發(fā)者普遍對(duì)過度依賴 AI 持謹(jǐn)慎態(tài)度，尤其是在 " 氛圍編程 " 領(lǐng)域。這種模式被認(rèn)為會(huì)產(chǎn)生混亂且未經(jīng)測(cè)試的代碼，同時(shí)還帶來信息安全問題，包括敏感公司數(shù)據(jù)的意外暴露。

范 · 德 · 維爾表示，構(gòu)建這些工具的公司在追求易用性與確保安全性之間往往面臨兩難選擇。然而，這并不能成為弱保護(hù)的借口。" 公司既想降低新用戶的使用門檻，又需防止數(shù)據(jù)被抓取，這對(duì)某些用戶而言確實(shí)存在實(shí)際后果。"

摩爾進(jìn)一步警告稱，如果用戶未能完全理解哪些內(nèi)容會(huì)被暴露，氛圍編程工具可能會(huì)加劇這些風(fēng)險(xiǎn)。" 不良默認(rèn)設(shè)置正在加速，用戶需要明確意識(shí)到這一點(diǎn)，并制定故障保險(xiǎn)和備份措施。"

接連不斷的安全失誤

Lovable 的事件并非孤例。過去幾周內(nèi)，另外兩家 AI 公司也相繼曝出重大數(shù)據(jù)安全問題。三月下旬，Anthropic 意外泄露了一個(gè)包含近 2,000 個(gè)文件和 50 萬行代碼的存檔；本周早些時(shí)候，網(wǎng)站托管平臺(tái) Vercel 也披露了一起未經(jīng)授權(quán)訪問內(nèi)部系統(tǒng)的事件。

Vercel 透露，該事件源于第三方工具 Context.ai 的泄露，攻擊者借此接管了一名員工的 Google Workspace 賬戶，從而獲得對(duì)部分 Vercel 環(huán)境的訪問權(quán)限。目前，Vercel 已聘請(qǐng)事件響應(yīng)專家協(xié)助調(diào)查，并通知了執(zhí)法部門。

在二月份的一期播客中，Andreessen Horowitz 普通合伙人 Anish Acharya 曾提醒企業(yè)不要在每個(gè)業(yè)務(wù)環(huán)節(jié)都使用 AI 輔助編碼，因?yàn)檫@樣做的風(fēng)險(xiǎn)可能得不償失。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！