38万应用暴露、2000+应用泄密！AI编程把“内网”变公网

48 0 0

文章摘要

AI快速开发工具的普及正引发严峻的数据安全危机。网络安全机构RedAccess的专项调研表明，依托Lovable、Replit等辅助平台创建的数十万个应用可直接通过公开链接访问。深入排查确认，其中约五千个项目缺乏基础身份验证机制，涉及医疗档案、客户联系方式、企业财务数据等关键资产。调研发现，约四成暴露资产存在严重的信息外泄情况，部分应用甚至赋予外部人员最高系统权限，且无需复杂绕过步骤即可读取或操控核心数据。生成式编程工具默认缺乏底层安全防护机制，致使海量商业机密与个人隐私在无意间直接暴露于开放网络。

技术架构的极简设计与企业内部管控流程的脱节是诱发该现象的核心原因。平台普遍将产出物托管于自有通用域名下，使得攻击者或研究人员仅借助常规搜索引擎配合特定后缀即可批量检索目标。非工程背景的内部员工凭借自然语言提示词便能瞬间完成应用构建与公网部署，此举彻底绕开了传统IT体系既定的代码审查、渗透测试及上线审批节点。缺乏信息安全认知的业务人员将未经合规校验的系统直推生产环境，从根本上瓦解了企业原有的数据隔离防线。

第三方机构的交叉验证数据与行业分析模型进一步佐证了风险的广泛性。Escape.tech等团队的独立扫描均证实了高危漏洞与硬编码凭证泄露的常态化趋势，权威预测显示自动化提示编程模式将导致软件缺陷数量呈指数级攀升。面对外部质询，Replit、Lovable及Base44母公司Wix等厂商集体回应，否认平台存在架构级缺陷，强调可见性阈值与访问控制属于后台自由切换模块，系统已内置完整的配置选项。平台运营方坚决主张数据保密的最终义务归属于应用创建者，认定公开可访问状态是用户的主动配置选择而非平台强制行为。双方对责任边界的界定虽存在分歧，但默认为全网公开且缺失强制脱敏策略的产品逻辑，清晰揭示了当前低代码开发模式下亟待修复的系统性隐患。