AI“氛围编码”应用安全堪忧！超5000个无安全措施，近2000个泄露私人数据

AI“氛围编码”安全问题凸显随着人工智能接手现代程序员工作网络安全界警告自动化编码工具会在软件中引入大量可被攻击的漏洞。当“氛围编码”工具让任何人轻松创建网络应用程序时安全问题不仅是漏洞还可能涉及高度敏感的企业和个人数据。超5000个应用几乎无安全措施网络安全公司RedAccess的Dor Zvi及其团队分析了数千个使用AI软件开发工具Lovable、Replit、Base44和Netlify创建的“氛围编码”网络应用程序发现其中超过5000个几乎没有任何安全或认证措施。许多应用只要有人找到网址就能访问部分应用访问障碍微不足道如仅要求访客用任意邮箱地址登录。约40%应用泄露敏感数据Zvi表示约40%的应用程序泄露了敏感数据包括医疗信息、财务数据、企业演示文稿、战略文件以及客户与聊天机器人对话的详细记录。他称企业通过“氛围编码”应用程序泄露了私人数据这是重大事件之一。搜索易受攻击应用很容易Zvi提到RedAccess搜索易受攻击的网络应用程序出奇地容易。因为Lovable、Replit、Base44和Netlify允许用户将网络应用程序托管在这些AI公司的域名下研究人员通过在Google和Bing上用这些AI公司的域名结合其他搜索词进行简单搜索就识别出了数千个“氛围编码”应用程序。近2000个应用泄露私人数据Zvi称有5000个AI编码的应用程序任何人在浏览器输入网址就能公开访问。经过检查近2000个似乎泄露了私人数据。他与《连线》杂志分享的截图显示了多家公司的敏感信息如医院工作安排、公司广告购买信息、市场推广战略演示文稿等。暴露应用存在严重风险Zvi表示在某些情况下暴露的应用程序能让他获得系统的管理权限还能移除其他管理员。此外在Lovable平台上发现了许多假冒大型企业的钓鱼网站包括美国银行、好市多、联邦快递、乔氏食品超市和麦当劳。AI编码公司回应当《连线》杂志就调查结果询问这四家AI编码公司时Netlify没有回应另外三家公司对研究人员的说法提出异议抗议称研究人员没有分享足够的调查结果也没有给他们足够的时间做出回应。但它们并未否认RedAccess发现的网络应用程序处于暴露状态。Replit的首席执行官Amjad Masad称一些用户在开放网络上发布了本应私密的应用程序Replit允许用户选择应用程序是公开还是私密的隐私设置随时可以一键更改。