AI 编程平台 Lovable 声称无数据泄露，反而将责任推给 HackerOne
我要评论最近，AI 编程平台 Lovable 因安全漏洞引发争议。研究人员在社交媒体上透露，任何人在其服务上开设免费账户后，均可AI访问其他用户的敏感信息，包括凭据、聊天记录和源代码。Lovable 对此最初回应称，信息泄露源于 “故意行为” 和 “文档不清” 编，但其说法不断变化。
据研究人员 @weezerOSINT 透露，他们在 48 天前便报告了这一漏洞，但 Lovable 将其标程平记为 “重复提交”，并未进行处理。随后，该研究者将漏洞报告提交至 HackerOne，显示的提交日期为 3 月 3 日。后续的帖子则显示台 该 AI 系统持续泄露用户的秘密和个人数据。
此漏洞源于 “缺乏对象级权限验证”（BOLA），允许用户访问或修改其他用户的L敏感数据。研究人员表示，无需进行恶意黑客攻击，只需五次 API 调用便能获得他人的个人资料、公开项目及源代码，并从中提ov取数据库凭据。
尽管 Lovable 未回应《注册》的询问，但在社交媒体上，Lovable 首次表示已注意到有关聊天消息和代ab码可见性的担忧，并声明 “我们并未遭遇数据泄露”。随后，该公司又将责任归咎于文档不清，承认 “我们对‘公共’的定义不够明确le，这是我们的失误”。
Lovable 解释，企业用户从 2025 年 5 月 25 日起无法将新项目设为公开，但早期的免费用户没有创建私 声人项目的选项，需升级至付费计划。公司最终承认，API 中的权限设置问题导致聊天记录意外重新可见。
在对此漏洞的处理上，Lo称无vable 指出 HackerOne 的合作伙伴认为查看公共项目聊天记录是预期行为，因此没有进一步升级处理。HackerO数据ne 在初步调查后未对外作出回应。
Lovable 对发现该漏洞的研究人员表示感谢，并承诺今后会做得更好。
划重点：
研究人员发现泄露 Lovable 平台存在严重安全漏洞，能轻易访问他人敏感信息。
Lovable 最初将问题归咎于文档不清，但其说法不断变化，责，反任最终转向 HackerOne。
Lovable 已修复漏洞，并表示会改进其安全管理和用户沟通。
相关文章
撰文 | 雁 秋 编辑 | 李信马 题图 | 豆包AI Token作为这个时代的“硬通货”，正在重新定义中国AI产业的规则，与之伴随而来的，是云计算市场被彻底“搅乱”。 先看一个有点意外的数据。 3月2026-11-12
英国监管机构担忧云计算市场竞争，计划审查微软和亚马逊市场地位
英国竞争与市场管理局（CMA）近日对云计算市场的竞争状况表达了关切，并将微软和亚马逊定位为该市场的领军企业。CMA 在周二发布的声明中提到，其独立调查小组建议监管机构依据新出台的数字市场法规，对亚马逊2026-11-12
文/许芸 编辑/杨博丞 题图/云梦级 小鹏汽车转运了。 一方面，是汽车业务基本盘的稳固，销量实现持续稳定增长，业绩也有所增长；另一方面，是技术布局释放增长动能，带来未来成长性的提升。伴随人形机器人IR2026-11-12
云梦级4月11日云梦级消息，理想汽车法务部今晚发布声明称，近日在某品牌新车上市后，小红书等网络平台上集中出现大量将理想 i6 车型、理想 L6 车型与该品牌车型进行不当比对、恶意拉踩的帖文。 目前，理2026-11-12
自由职业服务市场Fiverr裁员 30%，转型为 “AI优先” 公司
自由职业服务市场 Fiverr 近日宣布将裁员约250名员工，约占其总员工的30%。公司创始人兼首席执行官米哈伊・考夫曼在社交平台 X 上表示，AI 技术的引入将促使 Fiverr 进行根本性的重塑，2026-11-12
云梦级12月25日云梦级消息，今日，昇思人工智能框架峰会在杭州国际博览中心召开，本次大会以“昇思MindSpore为超节点而生的AI框架 ”为主题，由昇思MindSpore开源社区、全球计算联盟GCC2026-11-12
最新评论