ثغرة في منصة «Lovable».. كيف تثير مخاوف أمنية حول أدوات البرمجة بالذكاء الاصطناعي؟

كشفت حادثة أمنية حديثة تعرضت لها شركة Lovable الناشئة في مجال البرمجة التوليدية عن تحديات متزايدة مرتبطة باستخدام أدوات الذكاء الاصطناعي في تطوير البرمجيات.

وبدأت الواقعة بعد إعلان أحد المستخدمين على منصة X عن اكتشاف ثغرة داخل منصة Lovable، مكّنته من الوصول إلى مشاريع مستخدمين آخرين، بما في ذلك الأكواد البرمجية وسجلات المحادثات وبيانات العملاء. 

وأشار إلى أن الحسابات المتأثرة تضمنت موظفين يعملون في شركات كبرى مثل Nvidia وMicrosoft وUber وSpotify، كما ذكر أن الثغرة تم الإبلاغ عنها قبل أكثر من شهر دون معالجة فورية.

وفي ردها الأول، نفت Lovable حدوث تسريب للبيانات، وأرجعت ظهور بعض الأكواد إلى إعدادات تخص المشاريع العامة، بهدف تحسين تجربة المستخدم، إلا أنها عادت لاحقًا وقدمت توضيحات بعد تصاعد الانتقادات، مؤكدة أنها أوقفت ميزة إظهار المشاريع العامة تلقائيًا منذ ديسمبر الماضي لجميع المستخدمين.

كما أوضحت الشركة أن تعديلًا أُجري في فبراير الماضي على صلاحيات الوصول أدى عن طريق الخطأ إلى إعادة إتاحة عرض محادثات المشاريع "العامة"، قبل أن يتم تقييدها مجددًا بعد اكتشاف المشكلة.

جدل تقني حول الاستجابة ومعايير الأمان

أثارت الواقعة ردود فعل متباينة داخل الأوساط التقنية؛ حيث اعتبر البعض أن اعتراف الشركة بالخطأ يعكس قدرًا من الشفافية، بينما رأى آخرون أن ردها الأول قلّل من خطورة الموقف.

وتسلط الحادثة الضوء على أهمية مبدأ الإعدادات الافتراضية الآمنة، الذي يعد من أساسيات تصميم الأنظمة لكنه غالبًا ما يتم تجاهله في الشركات الناشئة لصالح سهولة الاستخدام.

وأشار توم فان دي ويلي، مؤسس شركة Hacker Minded، إلى أن ما حدث يعكس قصورًا في نمذجة التهديدات وتجهيز المنتجات للاستخدام الفعلي، مؤكدًا أن الاعتماد على وعي المستخدم وحده لتمييز ما هو عام وما هو خاص ليس حلًا عمليًا.

من جانبه، أوضح جيك مور، مستشار الأمن السيبراني في شركة ESET، أن مثل هذه الحالات لا تُصنّف كاختراق تقليدي، لكنها تنطوي على مخاطر حقيقية، مشيرًا إلى أن تصميم الأنظمة بطريقة تسمح بانكشاف البيانات -even دون اختراق - يعكس غياب مفهوم “الأمن منذ التصميم”.

مخاطر متزايدة مع أدوات البرمجة التوليدية

يحذر متخصصون من أن الاعتماد المتزايد على أدوات البرمجة المدعومة بالذكاء الاصطناعي قد يرفع من احتمالات الوقوع في أخطاء تصميمية، خاصة مع ضعف الاختبارات الأمنية في بعض الحالات. كما يشيرون إلى أن مفهوم «Vibe Coding» قد يساهم في انتشار إعدادات غير محمية بالشكل الكافي.

وتأتي حادثة «Lovable» ضمن سلسلة من الوقائع المشابهة في قطاع الذكاء الاصطناعي؛ إذ تعرضت شركة Anthropic مؤخرًا لتسريب بيانات محدود، فيما كشفت Vercel عن وصول غير مصرح به لبعض أنظمتها نتيجة اختراق أداة طرف ثالث.

توازن مطلوب بين الابتكار والأمان

ويرى خبراء أن الشركات الناشئة مطالبة بتحقيق توازن دقيق بين تسريع الابتكار والالتزام بالمعايير الأمنية، مؤكدين أن الاعتماد الكامل على أدوات الذكاء الاصطناعي في جميع مراحل التطوير دون ضوابط واضحة قد يفتح الباب أمام مخاطر يمكن تجنبها من خلال تصميم آمن واختبارات دقيقة منذ البداية.