Los sitios creados con plataformas de IA exponen datos confidenciales, según un estudio de RedAccess

Las plataformas de creación de sitios web con IA, como Lovable, Base44, Replit y Netlify, prometen que cualquiera puede convertirse en desarrollador en segundos. Pero un análisis de RedAccess, empresa especializada en ciberseguridad, ha revelado un problema de gran escala: en miles de sitios desplegados hay contraseñas, claves API y otros datos confidenciales a la vista de todos.

Magnitud de las filtraciones: miles de sitios comprometidos

Solo en Lovable hay más de 20 mil sitios públicos. Cuando los investigadores de RedAccess analizaron una parte significativa de los proyectos, descubrieron un problema sistemático y grave: los usuarios suelen incluir información confidencial en los prompts, y esta acaba en el código generado. A menudo no son conscientes de que los datos dejados en ejemplos, comentarios o incluso pegados por error desde el portapapeles serán visibles para cualquiera que abra el código fuente del sitio.

El problema se agrava porque las plataformas publican los sitios a propósito en URL de acceso público, y el código fuente suele estar disponible directamente en la herramienta del navegador para ver el código fuente.

RedAccess encontró en abierto:

• Contraseñas y tokens de API en el código fuente
• Claves de servicios en la nube (AWS, Google Cloud, Azure)
• Direcciones de correo electrónico y números de móvil de empleados
• Enlaces a paneles de administración y servicios internos
• Volcados de bases de datos con información personal de clientes
• Credenciales SSH y contraseñas para el acceso remoto a servidores

Las plataformas culpan a los usuarios

Los desarrolladores de Lovable, Base44, Replit y Netlify mantienen una postura común: ellos ofrecen las herramientas y los usuarios son responsables del contenido que introducen en ellas. Formalmente es razonable, igual que el fabricante de un cuchillo no responde si alguien se corta con él.

Pero los expertos en seguridad señalan una diferencia crítica: estas plataformas están diseñadas y se comercializan explícitamente para personas sin experiencia en programación. Cuando un sistema se dirige a principiantes que, por definición, no saben qué es una clave API ni por qué no debe dejarse en el código, el desarrollador debería añadir una advertencia muy visible o integrar un escaneo automático y un bloqueo de datos sensibles antes de la publicación.

«Las plataformas están diseñadas para personas que no conocen los fundamentos de la seguridad de la información.

Cuando un sistema se crea para ellas, su creador asume la responsabilidad de la protección básica», afirma el estudio de RedAccess.

Qué significa para la industria

Los generadores de IA están cambiando literalmente el panorama del desarrollo web: son varios órdenes de magnitud más baratos y rápidos que contratar a un desarrollador con experiencia. Pero crean una nueva categoría de problemas de seguridad que la generación anterior de desarrolladores simplemente no previó.

Para las empresas que usan estos servicios, el consejo es sencillo: si utiliza Lovable, Replit o plataformas similares, revise el código generado antes de publicarlo en producción. No entregue nunca a los sistemas de IA contraseñas reales, claves API ni acceso a datos confidenciales. Use valores de relleno fijos.

Para las propias plataformas, es una ventana de oportunidad. La primera empresa que añada un escaneo automático integrado del código para detectar filtraciones y bloquee el despliegue al detectar información sensible obtendrá una enorme ventaja competitiva en forma de confianza de clientes corporativos y gubernamentales. De lo contrario, RedAccess quedará como la historia de una época en la que la industria aún era descuidada.