Исследователи Crissy Field обнаружили приложения, созданные на Lovable, которые отдавали конфиденциальные данные без входа в аккаунт. В одном форуме были доступны более 200 тысяч сообщений и 80 тысяч профилей; у другого сервиса — свыше тысячи записей с реквизитами документов, включая номера паспортов. Отчёт развивает расследование, опубликованное Handelsblatt 2 ноября.

Проверка охватила 159 041 проект из веб-архива Common Crawl за декабрь 2025-го — сентябрь 2026-го. Из них 34 545 использовали базу данных Supabase. Исследователи изучали ответы при загрузке страницы и делали дополнительные запросы на чтение с тем же ключом доступа. Таким способом обнаружились также договоры, счета и внутренние сообщения.

В 7403 приложениях нашлись записи с адресами электронной почты. Это 30% сайтов, которые исследователи проверяли подробнее, но не установленная доля утечек: адреса могли быть публичными или тестовыми, а выборка не представляет все приложения Lovable. Отсутствие адреса почты, в свою очередь, не гарантирует отсутствия личных данных.

Проблема — в разграничении доступа к данным созданных приложений; исследование не устанавливает взлом самой Lovable или повышенную опасность ИИ-кода по сравнению с человеческим. По сообщению Handelsblatt, Lovable считает проблему общеотраслевой. Авторы не установили, использовал ли кто-либо открытые данные во вред; собственные базы Lovable в эту проверку не входили.