”Lovable”-appar kan vara farliga av design, visar forskning

Appar byggda med AI-drivna app-byggare lovar snabb utveckling och enkel användning. Men forskningen visar att lovable apps kan innehålla allvarliga risker. Nyckelfrasen kommer tidigt och flyter naturligt. Även när användare ber om ”säker kod” förlitar sig många skapare på plattformarnas standardlogik i stället för expertgranskning. Resultatet blir appar med sårbarheter och en falsk känsla av trygghet.

Forskningsresultaten

Forskare vid OX Security utvärderade flera AI-baserade app-byggare, bland annat Lovable, Base44 och Bolt. De bad plattformarna skapa en wiki-liknande app med HTML-redigeringsfunktioner. Alla plattformar levererade fungerande appar. Trots detta innehöll varje version lagrade XSS-sårbarheter som gjorde det möjligt för angripare att injicera HTML, kapa sessioner och stjäla data.

Forskarna bad sedan byggarna att ”säkra” koden. Plattformarna gav bara delvis förbättrade resultat. De inbyggda ”Security Check: Passed”-märkningarna eller skannrarna identifierade sårbarheter inkonsekvent. Till exempel upptäckte Lovables skanner endast cirka 66 % av problemen. Bolts skanner misslyckades med att identifiera flera allvarliga brister. Forskarna drog slutsatsen att inkonsekvent detektering skapar en falsk trygghet hos användare, särskilt de utan teknisk bakgrund.

Varför detta spelar roll

Många användare av AI-baserade app-byggare saknar djup programmerings- eller säkerhetskompetens. De litar på plattformarnas löften om snabb publicering och antar att inbyggda skannrar motsvarar verklig säkerhet. När dessa skannrar missar viktiga sårbarheter når appar produktion med svagt försvar. I stor skala innebär detta att många ”lovable apps” kan bli attackvektorer i både företagsmiljöer och konsumentekosystem.

Den snabba publiceringsprocessen innebär dessutom att icke-tekniska skapare ofta hoppar över manuell granskning eller tester från tredje part. Varje app som publiceras med en sårbarhet ökar den totala risken i ekosystemet. Angripare kan utnyttja dessa svagheter för att få åtkomst, höja privilegier eller stjäla känslig information.

Vad utvecklare och organisationer bör göra

Organisationer som bygger eller använder appar via AI-drivna plattformar måste behandla dem som skräddarsydd mjukvara — inte lågriskverktyg. Utvecklare bör:

• Granska och testa genererad kod för sårbarheter som XSS, injektioner och bruten autentisering.
• Aktivera och genomdriva manuella säkerhetsgranskningar, även när plattformen hävdar ”secure build”.
• Utbilda användare och app-skapare att identifiera och minska risker i stället för att enbart lita på automatiska kontroller.
• Tillämpa least-privilege-principen i publicerade appar och övervaka användning för avvikelser.

Slutsats

Lovable apps kan vara farliga av sin design när AI-drivna app-byggare inte integrerar robust säkerhet och användare accepterar ”security scan”-märkningar utan vidare kontroll. Organisationer som använder sådana plattformar måste behandla varje genererad app som produktionsmjukvara, genomföra ordentliga säkerhetsgranskningar och vara vaksamma. Om dessa steg förbises riskerar användare och data att utsättas för onödiga hot.