”Lovable”-apps kan være farlige af deres design, viser forskning

Apps bygget med AI-drevne appbyggere lover hurtig udvikling og nem brug. Alligevel viser forskning, at lovable apps kan indeholde alvorlige risici. Nøglefrasen kommer tidligt og flyder naturligt. Selv når brugere beder om “sikker kode”, stoler mange skabere på platformens automatiske logik frem for ekspertvurdering. Resultatet er apps med sårbarheder og en falsk følelse af sikkerhed.

Forskningsresultaterne

Forskere hos OX Security evaluerede flere AI-baserede appbyggere, herunder Lovable, Base44 og Bolt. De bad platformene om at bygge en wiki-lignende app med HTML-redigeringsfunktioner. Alle platformene leverede fungerende apps. Alligevel indeholdt hver version lagrede XSS-sårbarheder, som gjorde det muligt for angribere at injicere HTML, overtage sessioner og stjæle data.

Forskerne bad derefter platformene om at “sikre” koden. Det førte kun til delvise forbedringer. De indbyggede “Security Check: Passed”-mærker eller scannere identificerede sårbarheder inkonsekvent. For eksempel opfangede Lovables scanner kun omkring 66 % af problemerne. Bolt’s scanner overså flere alvorlige fejl. Forskerne konkluderede, at denne inkonsekvente detektion skaber en falsk tryghed hos brugerne — især dem uden teknisk baggrund.

Hvorfor dette er vigtigt

Mange brugere af AI-drevne appbyggere mangler dyb programmerings- eller sikkerhedsekspertise. De stoler på platformens løfter om hurtig udgivelse og antager, at indbyggede scannere betyder reel sikkerhed. Når disse scannere overser centrale sårbarheder, havner apps i produktion med svage forsvar. I stor skala betyder det, at mange “lovable apps” kan blive angrebsvektorer i både virksomhedsmiljøer og forbrugerøkosystemer.

Desuden betyder den lette publicering, at ikke-tekniske skabere ofte springer manuel kodegennemgang eller tredjepartstests over. Hver app, der udgives med en sårbarhed, øger den samlede risiko i økosystemet. Angribere kan udnytte disse svagheder til at opnå adgang, eskalere privilegier eller stjæle følsomme data.

Hvad udviklere og organisationer bør gøre

Organisationer, der bygger eller anvender apps via AI-baserede platforme, skal behandle dem som skræddersyet software — ikke lavrisikoværktøjer. Udviklere bør:

• Gennemgå og teste genereret kode for XSS, injektioner og fejl i autentificering.
• Kræve manuelle sikkerhedsreviews, selv når platformen hævder at levere en “secure build”.
• Uddanne brugere og skabere i at identificere og reducere potentielle risici fremfor kun at stole på automatiske tjek.
• Gennemføre least-privilege-tilladelser i udgivne apps og overvåge realtidsbrug for afvigelser.

Konklusion

Lovable apps kan være farlige af deres design, når AI-drevne appbyggere ikke indbygger stærke sikkerhedsmekanismer — og brugerne accepterer “security scan”-mærker ukritisk. Organisationer, der anvender sådanne platforme, skal betragte enhver genereret app som produktionssoftware, udføre grundige sikkerhedsreviews og holde et højt beredskab. Hvis disse trin overses, risikerer man at udsætte både brugere og data for unødvendige trusler.