Sites criados por plataformas de IA expõem dados confidenciais, aponta estudo da RedAccess

Plataformas de criação de sites com IA, como Lovable, Base44, Replit e Netlify, prometem que qualquer pessoa pode virar desenvolvedora em segundos. Mas uma análise da RedAccess, empresa especializada em cibersegurança, revelou um problema em larga escala: em milhares de sites publicados, senhas, chaves de API e outros dados confidenciais estão à vista de todos.

Escala dos vazamentos: milhares de sites comprometidos

Só a Lovable hospeda mais de 20 mil sites públicos. Quando os pesquisadores da RedAccess analisaram uma parte significativa dos projetos, encontraram um problema sistemático e sério: os usuários costumam inserir informações confidenciais nos prompts, e elas acabam no código gerado. Muitas vezes não percebem que dados deixados em exemplos, comentários ou até colados por engano da área de transferência ficarão visíveis para qualquer pessoa que abrir o código-fonte do site.

O problema se agrava porque as plataformas publicam os sites de propósito em URLs de acesso público, e o código-fonte costuma estar disponível diretamente na ferramenta de visualização de código do navegador.

A RedAccess encontrou expostos:

• Senhas e tokens de API no código-fonte
• Chaves de serviços de nuvem (AWS, Google Cloud, Azure)
• Endereços de e-mail e números de celular de funcionários
• Links para painéis administrativos e serviços internos
• Dumps de bancos de dados com informações pessoais de clientes
• Logins e senhas SSH para acesso remoto a servidores

Plataformas jogam a responsabilidade para os usuários

Os desenvolvedores de Lovable, Base44, Replit e Netlify adotam uma posição comum: eles fornecem as ferramentas, e os usuários respondem pelo conteúdo que inserem nelas. Do ponto de vista formal, é justo, assim como o fabricante de uma faca não é responsável se alguém se cortar com ela.

Mas especialistas em segurança apontam uma diferença crítica: essas plataformas são explicitamente projetadas e divulgadas para pessoas sem experiência em programação. Quando o sistema mira iniciantes que, por definição, não sabem o que é uma chave de API nem por que ela não pode ficar no código, o desenvolvedor deveria exibir um aviso bem visível ou embutir uma varredura automática e o bloqueio de dados sensíveis antes da publicação.

"As plataformas são projetadas para pessoas que não conhecem o básico de segurança da informação.

Quando um sistema é criado para elas, o criador assume a responsabilidade pela proteção básica", diz o estudo da RedAccess.

O que isso significa para o setor

Os geradores de IA estão literalmente mudando o panorama do desenvolvimento web: são várias ordens de magnitude mais baratos e rápidos do que contratar um desenvolvedor experiente. Mas criam uma nova categoria de problemas de segurança que a geração anterior de desenvolvedores simplesmente não previu.

Para as empresas que usam esses serviços, o conselho é simples: se você usa Lovable, Replit ou plataformas semelhantes, revise o código gerado antes de publicá-lo em produção. Nunca forneça a sistemas de IA senhas reais, chaves de API ou acesso a dados confidenciais. Use valores fixos de preenchimento.

Para as próprias plataformas, é uma janela de oportunidade. A primeira empresa que adicionar varredura automática de código para detectar vazamentos e bloquear o deploy ao encontrar informações sensíveis ganhará uma enorme vantagem competitiva, na forma de confiança de clientes corporativos e governamentais. Caso contrário, a RedAccess ficará apenas como a história de uma época em que o setor ainda era descuidado.