數千 Vibe-Coded 應用程式洩露敏感資料

💡AI 建置工具洩露數千企業資料—立即審核你的部署 (24字)

⚡ 30-Second TL;DR

有什麼變化

Lovable、Base44、Replit、Netlify 使用 AI 即時建置網頁 App

為什麼重要

揭露 AI 無程式碼工具的嚴重安全漏洞，使用者面臨資料外洩風險。可能促使 AI App 建置平台制定更嚴格指南，並加強快速部署審查。

下一步行動

使用 Shodan 等工具掃描 Replit/Netlify 應用程式的公開資料庫端點。

誰應關注：Developers & AI Engineers

AI-generated analysis for this event.

•安全研究人員指出，這類漏洞的核心原因在於 AI 生成代碼時，預設將 API 金鑰、資料庫憑證及環境變數硬編碼（Hard-coded）在前端客戶端代碼中，而非使用後端伺服器進行代理。
•此類「Vibe-Coding」工具通常缺乏自動化的安全掃描機制（如 SAST 或 DAST），導致開發者在部署時未意識到其應用程式已將敏感的雲端儲存桶（S3 Buckets）權限公開。
•受影響的應用程式多數採用了無伺服器（Serverless）架構，開發者在利用 AI 快速原型設計時，誤將開發環境的測試資料庫直接連結至生產環境，導致資料外洩規模擴大。

•漏洞成因：AI 模型在生成網頁應用時，傾向於將所有邏輯封裝在前端（Client-side），導致敏感的 API 金鑰直接暴露在瀏覽器的原始碼中。
•資料外洩途徑：應用程式在部署至 Netlify 或類似平台時，未配置正確的 .env 檔案處理機制，導致環境變數被編譯進靜態資產（Static Assets）。
•權限配置錯誤：AI 自動生成的後端邏輯常預設使用過度寬鬆的 IAM 策略，允許未經授權的公開存取。