المواقع التي أنشأتها منصات AI تحتوي على بيانات حساسة مكشوفة — دراسة RedAccess

منصات إنشاء مواقع الويب المدعومة بالذكاء الاصطناعي — Lovable و Base44 و Replit و Netlify — تعد بتحويل أي شخص إلى مطور في ثوان معدودة. لكن تحليل RedAccess، الخبير في الأمن السيبراني، كشف عن مشكلة ضخمة: آلاف مواقع الويب المنشورة تحتوي على كلمات المرور ومفاتيح API وبيانات سرية أخرى معرضة للجميع.

نطاق التسريبات: آلاف المواقع مهددة

منصة Lovable وحدها تستضيف أكثر من 20 ألف موقع ويب عام. عندما قام باحثو RedAccess بتحليل جزء كبير من المشاريع، ظهرت مشكلة منهجية وخطيرة: يقوم المستخدمون بإدخال معلومات حساسة في الاستفسارات بشكل متكرر، والتي تنتهي في الكود المولد. غالباً لا يدركون أن البيانات المتروكة في الأمثلة أو التعليقات أو حتى المُلصقة بالخطأ من الحافظة ستكون مرئية لأي شخص يفتح كود المصدر للموقع. تزداد المشكلة حدة لأن المنصات تنشر المواقع من خلال عناوين URL عامة، وكود المصدر غالباً ما يكون يمكن الوصول إليه مباشرة من خلال أداة عرض المصدر في المتصفح.

كشفت RedAccess عن معرّض علناً:

• كلمات المرور وتوكنات API في كود المصدر
• مفاتيح الخدمات السحابية (AWS و Google Cloud و Azure)
• عناوين البريد الإلكتروني وأرقام الهواتف المحمولة للموظفين
• روابط لوحات التحكم الإدارية الداخلية والخدمات
• نسخ احتياطية من قواعد البيانات تحتوي على معلومات شخصية للعملاء
• بيانات تسجيل الدخول SSH وكلمات المرور للوصول البعيد إلى الخوادم

المنصات تحول المسؤولية للمستخدمين

مطورو Lovable و Base44 و Replit و Netlify يتخذون موقفاً موحداً: يوفرون الأدوات، والمستخدمون مسؤولون عن المحتوى الذي يدخلونه فيها. من وجهة نظر رسمية، هذا عادل — تماماً كما أن صانع السكين ليس مسؤولاً إذا جرح شخص ما نفسه بالسكين. لكن خبراء الأمن يشيرون إلى تمييز حاسم: هذه المنصات مصممة وتسويق صراحة لأشخاص بدون خبرة برمجية. عندما يكون النظام موجهاً نحو المبتدئين الذين بحكم التعريف لا يعرفون ما هو مفتاح API ولماذا لا يجب تركه في الكود، يجب على المطور إما إضافة تحذير بارز جداً أو دمج المسح التلقائي وحجب البيانات الحساسة قبل النشر.

"المنصات مصممة للأشخاص الذين لا يعرفون أساسيات أمن المعلومات. عندما يتم إنشاء نظام لهم، يتحمل المُنشئ مسؤولية الحماية الأساسية," تنص أبحاث

RedAccess.

ماذا يعني هذا للصناعة

مولدات الأكواد المدعومة بالذكاء الاصطناعي تعيد حرفياً تشكيل مشهد تطوير الويب: فهي أرخص بأوامر من حيث الحجم وأسرع من توظيف مطور ذو خبرة. لكنها تنشئ فئة جديدة من مشاكل الأمان التي لم تتوقعها الأجيال السابقة من المطورين ببساطة. بالنسبة للشركات التي تستخدم مثل هذه الخدمات، النصيحة بسيطة: إذا كنت تستخدم Lovable أو Replit أو منصات مماثلة، فراجع الكود المولد قبل النشر في الإنتاج. لا تمرر أبداً كلمات مرور حقيقية أو مفاتيح API أو الوصول إلى بيانات حساسة لأنظمة الذكاء الاصطناعي. استخدم قيماً وهمية ثابتة بدلاً من ذلك.

بالنسبة للمنصات نفسها، هذه نافذة فرصة. ستحصل أول شركة تضيف فحص الأكواد التلقائي المدمج عن تسريبات البيانات وحجب النشر عند كشف المعلومات الحساسة على ميزة تنافسية ضخمة في شكل ثقة العملاء من القطاع الخاص والحكومي. وستصبح RedAccess مجرد قصة — عن الوقت الذي كانت فيه الصناعة لا تزال غير حذرة.