Los creadores de apps con IA han publicado miles de aplicaciones que filtran datos

Plataformas como Lovable, Base44, Replit y Netlify usan IA para que cualquiera, incluso sin conocimientos de programación, cree aplicaciones web completas en cuestión de segundos. Pero los investigadores de Wired han encontrado una grieta en esta utopía: miles de aplicaciones con datos confidenciales críticos, como claves API, contraseñas y tokens de autorización, están al alcance de cualquiera en internet. Y nadie hace nada al respecto.

Cómo funcionan los creadores de apps con IA

Servicios como Lovable y Base44 se basan en grandes modelos de lenguaje como GPT-4. El desarrollador simplemente describe lo que necesita: «Haz una aplicación para controlar gastos con integración de Stripe». En unos segundos, el sistema genera un componente de React o una aplicación de Vue completos, con interfaz y lógica. Después, el proyecto se puede publicar de inmediato en Netlify con un solo botón o alojar en Replit.

Esto es revolucionario para la velocidad de desarrollo. Un MVP suele requerir semanas o meses de trabajo. Aquí bastan horas, y a veces minutos. No sorprende que cientos de miles de desarrolladores hayan empezado a usar estos servicios.

La escala del problema

Wired quiso comprobar qué acaba en acceso público. Los investigadores analizaron miles de aplicaciones creadas en estas plataformas y publicadas en internet. El resultado fue alarmante: una parte significativa contenía claves API, contraseñas de bases de datos y otros datos confidenciales.

No son casos aislados de descuido. Es un problema sistémico: las plataformas carecen de mecanismos para evitar las filtraciones. Cuando el código se genera automáticamente y se publica con un solo botón, el proceso de revisión de seguridad simplemente desaparece.

Qué datos se filtran

• Claves API de servicios de terceros — OpenAI, Stripe, AWS, Google Cloud, Twilio. Todas están en código JavaScript del lado del cliente, descargable por cualquiera.
• Contraseñas de bases de datos — las credenciales de MongoDB, PostgreSQL y MySQL a menudo no están hasheadas y se ven en texto plano en el código fuente de la aplicación.
• Tokens de autorización y cookies de sesión — con los que se pueden secuestrar cuentas ajenas.
• Claves de cifrado privadas — usadas para proteger los datos de los usuarios.
• ID internos y arquitectura — aunque por separado sean inofensivos, juntos revelan a los atacantes la estructura de la aplicación.

Cuando los investigadores encontraron estas claves, pudieron acceder a cuentas y datos de usuarios. Es más: los bots que rastrean internet constantemente en busca de estas filtraciones ya las encuentran de forma automática.

Por qué ocurre

La razón principal es simple: la velocidad de desarrollo no deja tiempo para la seguridad. Cuando se puede crear un MVP en 10 minutos, no hay revisión de código, ni comprobación de vulnerabilidades, ni un proceso estándar. En proyectos grandes, esto se detectaría.

La segunda razón es que las propias plataformas no hacen nada. No avisan al desarrollador de que se ha encontrado una clave API en el código. No hay depuración automática de datos sensibles. No hay un aviso del tipo «Asegúrese de haber eliminado todas las contraseñas antes de publicar». Se publica y listo.

La tercera razón es que los desarrolladores no están formados. Una persona que ayer no sabía programar hoy crea una aplicación con lógica real. Nadie le ha explicado las reglas básicas de seguridad.

Qué significa esto

Es un caso clásico de democratización que no ha salido del todo bien. Las herramientas sí permiten que más gente cree. Pero también se amplía el margen de error.

Para las empresas: si usan estas plataformas para aplicaciones en producción, no basta con generar el código. Es imprescindible revisarlo manualmente en busca de filtraciones antes de publicar. Busquen claves API en el código fuente, contraseñas en los archivos de configuración y datos privados en los registros.

Para las propias plataformas, es un momento crítico. Necesitan comprobaciones de seguridad integradas, avisos cuando se detecten claves y quizá incluso negarse a publicar. De lo contrario, su reputación se resentirá.