Les sites créés par des plateformes d'IA exposent des données confidentielles, selon une étude de RedAccess

Les plateformes de création de sites web par IA, comme Lovable, Base44, Replit et Netlify, promettent que n'importe qui peut devenir développeur en quelques secondes. Mais une analyse de RedAccess, société spécialisée en cybersécurité, révèle un problème d'ampleur : sur des milliers de sites déployés, des mots de passe, des clés d'API et d'autres données confidentielles sont en accès libre.

Ampleur des fuites : des milliers de sites compromis

Lovable héberge à lui seul plus de 20 mille sites publics. Lorsque les chercheurs de RedAccess ont analysé une part importante des projets, ils ont constaté un problème systématique et sérieux : les utilisateurs saisissent souvent des informations confidentielles dans leurs prompts, qui se retrouvent ensuite dans le code généré. Ils ne réalisent souvent pas que des données laissées dans des exemples, des commentaires, ou même collées par erreur depuis le presse-papiers, seront visibles par quiconque ouvre le code source du site.

Le problème est aggravé par le fait que les plateformes publient délibérément les sites sur des URL publiques, et que le code source est souvent accessible directement dans l'outil d'affichage du code source du navigateur.

RedAccess a trouvé en accès libre :

• Des mots de passe et des jetons d'API dans le code source
• Des clés de services cloud (AWS, Google Cloud, Azure)
• Des adresses e-mail et des numéros de mobile d'employés
• Des liens vers des panneaux d'administration et des services internes
• Des dumps de bases de données contenant des informations personnelles de clients
• Des identifiants et mots de passe SSH pour l'accès à distance à des serveurs

Les plateformes rejettent la responsabilité sur les utilisateurs

Les éditeurs de Lovable, Base44, Replit et Netlify défendent une position commune : ils fournissent les outils, et les utilisateurs sont responsables du contenu qu'ils y saisissent. Sur le plan formel, c'est juste, tout comme le fabricant d'un couteau n'est pas responsable si quelqu'un s'en blesse.

Mais les experts en sécurité soulignent une différence essentielle : ces plateformes sont explicitement conçues et commercialisées pour des personnes sans expérience du code. Quand un système vise des débutants qui, par définition, ignorent ce qu'est une clé d'API et pourquoi il ne faut pas la laisser dans le code, l'éditeur devrait soit afficher un avertissement très visible, soit intégrer une analyse automatique et un blocage des données sensibles avant la publication.

« Les plateformes sont conçues pour des personnes qui ne connaissent pas les bases de la sécurité de l'information.

Quand un système est créé pour elles, son créateur porte la responsabilité de la protection de base », indique l'étude de RedAccess.

Ce que cela signifie pour l'industrie

Les générateurs d'IA changent littéralement le paysage du développement web : ils sont de plusieurs ordres de grandeur moins chers et plus rapides que l'embauche d'un développeur expérimenté. Mais ils créent une nouvelle catégorie de problèmes de sécurité que l'ancienne génération de développeurs n'avait tout simplement pas prévue.

Pour les entreprises qui utilisent ces services, le conseil est simple : si vous utilisez Lovable, Replit ou des plateformes similaires, vérifiez le code généré avant de le publier en production. Ne transmettez jamais à des systèmes d'IA de vrais mots de passe, des clés d'API ou un accès à des données confidentielles. Utilisez des valeurs fictives fixes.

Pour les plateformes elles-mêmes, c'est une fenêtre d'opportunité. La première entreprise qui ajoutera une analyse automatique intégrée du code pour détecter les fuites de données et bloquera le déploiement en cas de détection d'informations sensibles obtiendra un énorme avantage concurrentiel, sous la forme de la confiance des clients entreprises et publics. Sinon, RedAccess restera simplement l'histoire d'une époque où l'industrie était encore imprudente.