Kecerdasan buatan semakin memudahkan pembuatan aplikasi web secara mandiri, namun penanganan data sensitif tetap memerlukan perhatian khusus. Penyelidikan yang dilakukan terhadap puluhan ribu proyek yang dibangun menggunakan platform Lovable menemukan banyak kasus yang mengekspos informasi pribadi dan rahasia tanpa memerlukan proses masuk.
Mengenal Platform Lovable
Lovable adalah perusahaan rintisan kecerdasan buatan asal Swedia yang didirikan di Stockholm pada tahun 2023 oleh Anton Osika dan Fabian Hedin. Platform tersebut dikembangkan untuk mengubah deskripsi bahasa sehari-hari menjadi aplikasi web yang dapat diakses bahkan oleh orang tanpa pengalaman pemrograman.
Perangkat lunak ini berawal dari proyek sumber terbuka bernama GPT Engineer yang dirilis pada tahun 2023. Proyek tersebut kemudian berkembang menjadi GPT Engineer App sebelum berganti nama menjadi Lovable pada akhir tahun 2024 dan meluncur secara publik pada bulan November tahun itu.
Hasil Investigasi Keamanan Data
Dalam investigasi yang dilakukan bekerja sama dengan Handelsblatt, penyelidikan difokuskan pada layanan basis data Supabase yang paling banyak digunakan oleh proyek-proyek Lovable. Menggunakan kumpulan data dari arsip web terbuka Common Crawl, dianalisis sebanyak 159.041 proyek Lovable dari bulan Desember 2025 hingga September 2026, di mana 34.545 di antaranya menggunakan Supabase.
Hasilnya, sebanyak 24.664 situs web mengirimkan catatan basis data dari Supabase saat dimuat tanpa memerlukan kata sandi atau interaksi apa pun. Melalui permintaan baca saja tambahan, ditemukan catatan yang memuat alamat email di 10.560 tabel dari 7.403 situs web atau sekitar 30 persen dari total situs yang diperiksa secara mendalam.
Berbagai kasus paparan data serius ditemukan dalam investigasi tersebut. Sebuah forum gaya hidup asal Jerman mengekspos lebih dari 80.000 profil yang memuat nama lengkap, alamat email, tanggal lahir, informasi jenis kelamin, serta lebih dari 200.000 pesan obrolan.
Sejumlah penyelenggara acara dan restoran mengekspos puluhan ribu catatan penjualan tiket dan makanan tanpa perlindungan sandi, termasuk alamat email, nomor telepon, alamat pos, informasi pembayaran, dan kode tiket. Sebuah perusahaan manajemen properti juga mengekspos ringkasan email internal buatan kecerdasan buatan yang memuat informasi sensitif mengenai penyewa, pemilik properti, dan mitra bisnis.
Dalam kasus yang sangat serius, seorang penyedia layanan mengekspos lebih dari 1.000 catatan yang memuat rincian dokumen identitas, termasuk nomor paspor, tanggal kedaluwarsa, dan kewarganegaraan. Konten lain yang dapat diakses mencakup puluhan ribu kontrak, faktur, album foto pribadi, komunikasi WhatsApp internal, langganan buletin, daftar tunggu, hingga pertanyaan dukungan pelanggan termasuk 280.000 email yang dikirimkan kepada pelanggan suatu penyedia layanan.
Implikasi dan Saran Keamanan
Pemasaran Lovable berulang kali menekankan bahwa pengguna tidak memerlukan pengetahuan teknis untuk membangun proyek, yang dapat menimbulkan kesan bahwa platform tersebut juga mengurus keamanan. Kendati demikian, syarat dan ketentuan Lovable menetapkan bahwa tanggung jawab atas aplikasi dan penanganan data sepenuhnya berada di tangan pelanggan.
Pola integrasi basis data yang berulang pada platform ini membuat pihak luar lebih mudah mencari kesalahan konfigurasi serupa di berbagai aplikasi dengan sedikit tenaga tambahan. Pengguna tanpa latar belakang teknis juga menghadapi tantangan yang lebih besar untuk mendeteksi dan mencegah kerentanan tersebut.
Sebelum sebuah aplikasi menangani data pelanggan atau bisnis yang sebenarnya, izin akses, antarmuka, dan pemisahan antar akun pengguna harus ditinjau secara saksama oleh tenaga ahli. Pemeriksaan tersebut juga perlu diulangi secara berkala setelah terjadi perubahan signifikan pada aplikasi.
Sumber: Hacker News: Front Page
