Les entreprises découvrent un problème alarmant avec le 'codage d'ambiance'
Lovable, une application de 'codage d'ambiance' permettant à presque n'importe qui de créer des sites web et des applications en utilisant le langage naturel grâce à l'intelligence artificielle, présente une faille de sécurité majeure. Comme le rapporte Semafor, cette vulnérabilité critique reste non corrigée depuis des mois, exposant des informations sensibles des utilisateurs, y compris leurs noms, adresses e-mail et données financières. En mars, Matt Palmer, employé chez Replit, a révélé que 170 des 1 645 applications créées avec Lovable souffraient de la même faille, facilitant le vol de données par des hackers. Malgré l'introduction d'un 'scanner de sécurité', celui-ci ne vérifie pas l'exactitude des politiques de sécurité, offrant ainsi une fausse impression de protection. La sécurité au niveau des lignes (RLS), qui contrôle l'accès aux données par ligne dans une base de données, n'est pas correctement implémentée. Palmer et son équipe ont découvert les adresses e-mail de 500 utilisateurs d'un site créé avec Lovable transformant un profil LinkedIn en page web. Daniel Asaria, ingénieur logiciel, a affirmé avoir infiltré plusieurs sites 'top lancés' de Lovable, extrayant des dettes personnelles, adresses domiciliaires, clés API et 'invitations sensibles' en seulement 47 minutes. 'Ce n'est pas une histoire de violation (je l'ai signalée), c'est un signal d'alarme', a tweeté Asaria en avril. Après trois mois sans réponse de Lovable, Palmer a rendu publique la faille sur la National Vulnerabilities Database. Simon Willison, développeur chevronné, a souligné que le 'codage d'ambiance' pose un défi majeur en matière de sécurité. Anton Osika, fondateur de Lovable, a accusé le PDG de Replit, Amjad Masad, d'être jaloux de leur succès. Les experts alertent depuis des années sur les risques des outils de codage IA, qui peuvent introduire des erreurs facilement ignorées. Lovable a répondu sur X (ex-Twitter), affirmant avoir amélioré la sécurité de ses applications, tout en reconnaissant qu'il reste du travail à faire.
