Lovable: estudo revela dados pessoais acessíveis sem login em milhares de aplicativos
A empresa de segurança alemã Crissy Field analisou 159.041 projetos criados com o Lovable. Dos 24.664 sites que retornavam dados do Supabase logo no carregamento, 7.403 permitiam a leitura de tabelas contendo endereços de e-mail e, em alguns casos, números de passaporte ou dados de pagamento.
A promessa do “vibe coding” esbarra em uma questão bastante concreta: quem protege os dados? A empresa de segurança alemã Crissy Field analisou 159.041 projetos criados com o Lovable, a plataforma sueca que transforma descrições em linguagem natural em aplicações web. O resultado: em milhares de sites, informações pessoais, às vezes altamente sensíveis, estavam visíveis sem necessidade de login. A investigação, conduzida em conjunto com o jornal econômico alemão Handelsblatt (artigo de 2 de novembro de 2026), foi detalhada em um relatório publicado pela Crissy Field com números atualizados.
O que o estudo mediu
A Crissy Field concentrou-se no Supabase, o serviço de banco de dados que aponta como o mais utilizado pelos projetos do Lovable. Os bancos de dados próprios do Lovable, lançados no fim de 2025, não foram examinados.
| Etapa | Quantidade |
|---|---|
| Projetos do Lovable identificados na Common Crawl (dez. de 2025 a set. de 2026) | 159.041 |
| Projetos que utilizam o Supabase | 34.545 |
| Sites que enviam registros do Supabase logo no carregamento, sem login | 24.664 |
| Sites onde tabelas contendo endereços de e-mail puderam ser lidas | 7.403 (30%), em 10.560 tabelas |
O primeiro número não representa, por si só, uma vulnerabilidade: uma aplicação pode exibir determinados dados publicamente por design. O problema surge na etapa seguinte. Por meio de simples consultas apenas de leitura, utilizando a mesma chave de API carregada pelo próprio site, os pesquisadores conseguiram acessar outras tabelas. A Crissy Field não divulgou o método de acesso, para evitar facilitar novas invasões, e baixou apenas amostras parciais das bases de dados.
De passaportes a mensagens privadas
Os exemplos citados no relatório são graves:
- um fórum alemão expunha mais de 80.000 perfis (nome, e-mail, data de nascimento) e mais de 200.000 mensagens de discussões;
- organizadores de eventos e restaurantes deixavam acessíveis dezenas de milhares de registros de vendas, incluindo telefones, endereços postais, informações de pagamento e códigos de ingressos;
- uma administradora de imóveis expunha resumos, gerados por IA, de e-mails internos sobre seus inquilinos e parceiros;
- um prestador de serviços expunha mais de 1.000 registros contendo números de passaporte, datas de validade e nacionalidades;
- outros casos incluíam contratos, faturas, álbuns de fotos, conversas internas de WhatsApp e 280.000 e-mails enviados a clientes de um fornecedor.
A Crissy Field afirma não saber se esses dados chegaram a ser explorados, mas lembra que eles podem ser utilizados para phishing, fraudes com ingressos ou roubo de identidade.
Os limites da marca de 30%
O relatório adota cautela em relação à sua própria estatística. Um endereço de e-mail pode ser um contato institucional público ou um dado de teste; por outro lado, registros de usuários sem e-mail escaparam da contagem. Os 30% referem-se estritamente aos 24.664 sites analisados de perto, e a amostra obtida a partir da Common Crawl não é representativa da totalidade dos aplicativos feitos no Lovable. Trata-se, portanto, de um indício, e não de uma taxa de vazamento confirmada.
De quem é a responsabilidade?
A Crissy Field aponta uma incoerência: o Lovable enfatiza que nenhum conhecimento técnico é necessário para criar um app, enquanto seus termos de serviço deixam a responsabilidade das aplicações e do tratamento de dados inteiramente nas mãos dos clientes. Segundo a India Today, que cita o Handelsblatt, o Lovable respondeu que o problema não era exclusivo da sua plataforma e afetava todo o setor. Não encontramos uma declaração pública da empresa até o momento.
Os pesquisadores reconhecem que erros de permissão de acesso também ocorrem em softwares desenvolvidos manualmente. No entanto, com o Lovable, as integrações de banco de dados seguem padrões repetitivos: uma abordagem bem-sucedida contra uma aplicação pode ser replicada contra muitas outras. Além disso, usuários sem bagagem técnica encontram maior dificuldade para identificar essas falhas. A recomendação da equipe é auditar os direitos de acesso, as interfaces e a segregação entre contas antes de manipular dados reais de clientes, repetindo o procedimento após cada alteração importante.
Nossa leitura
O problema não é inerente à IA: um banco de dados mal configurado continua sendo um banco de dados mal configurado, quer tenha sido conectado por um humano ou por um agente autônomo. Contudo, as ferramentas de geração de software multiplicam o volume de projetos publicados por pessoas que desconhecem que uma base sem regras de acesso adequadas pode ser lida muito além do que a tela exibe. O estudo não comprova um vazamento massivo nem a exploração ativa dos dados, e sua amostra não é estatisticamente representativa; por outro lado, deixa claro que “sem código” não significa “sem segurança”. Para essas plataformas, o desafio urgente é adotar configurações seguras por padrão e bloquear a publicação sempre que dados sensíveis ficarem expostos, em vez de simplesmente transferir a responsabilidade aos usuários finais. Se você colocou no ar uma aplicação desse tipo, teste-a desconectado e revise minuciosamente suas regras de acesso antes de armazenar informações reais nela.
Fontes
- Crissy Field — Lovable: Many Apps Built on the Platform Expose Sensitive Data (relatório de pesquisa) Fonte primária
- India Today — AI app-maker Lovable apps expose personal details, researchers find thousands of cases (3 de novembro de 2026) Fonte secundária
Uma fonte primária vem diretamente da empresa, do laboratório ou da organização envolvida. Uma fonte secundária relata a informação sem ser a sua autora: nós a sinalizamos como tal. Encontrou um erro? Consulte nossa política de correções.
