פלטפורמת ה-Vibe Coding 'Lovable' מכחישה דליפת נתונים ומטילה את האשמה על HackerOne

חברת הסטארט-אפ Lovable, המקדמת פיתוח תוכנה באמצעות 'קודינג לפי תחושה' (Vibe Coding), נמצאת בסערה לאחר שהכחישה דליפה חמורה של נתונים רגישים והפנתה אצבע מאשימה כלפי פלטפורמת הצמדת הפרעות HackerOne. חוקר אבטחה דיווח כי ניתן היה לפתוח חשבון חינם בשירות ולקבל גישה למידע של משתמשים אחרים, כולל פרטי כניסה, היסטוריית צ'אטים וקוד מקור. תגובת החברה, ששונתה מספר פעמים, עוררה ביקורת קשה על ניהול משברים בתעשיית הבינה המלאכותית (AI).

בתגובה הראשונית, Lovable טענה שהגישה לנתונים נבעה מ'התנהגות מכוונת' של המשתמשים ומתיעוד לא ברור של המערכת, ולא מפגם אבטחתי של ממש. אולם, בהמשך שינתה החברה את גישתה והטילה את האחריות על HackerOne, בטענה שהפלטפורמה לא העבירה אליה את דו"ח החוקר בצורה נאותה. מהלך זה נתפס בניהול אבטחת מידע כניסיון להסיט אחריות ולפגוע באמון בין חוקרי אבטחה לחברות.

התקרית חושפת אתגר מהותי עבור חברות סטארט-אפ צעירות בתחום ה-AI: הצורך לאזן בין פיתוח מהיר וחדשני לבין הקפדה על אבטחת מידע ופרטיות נתונים (Data Privacy). פלטפורמות כמו Lovable, המבטיחות לקצר תהליכי פיתוח באמצעות סוכני קוד מבוססי בינה מלאכותית, נושאות באחריות כבדה לשמירה על נכסי המשתמשים. תגובה לא שקופה עלולה לפגוע לא רק במוניטין של החברה, אלא גם באמון הכללי בכלי פיתוח המונעים בידי AI.

השלכות המקרה חורגות מ-Lovable בלבד. הוא משמש תזכורת קריטית לחשיבות של פרוטוקולים ברורים לטיפול בדיווחי פגיעויות, שקיפות מלאה כלפי המשתמשים, ושיתוף פעולה עם קהילת האבטחה. בתעשייה הצומחת במהירות של סוכני קוד חכמים, אבטחה אינה מותרות – היא תנאי יסוד להישרדות ולצמיחה. חברות שמתעלמות מכך עלולות לגלות שהפגיעה באמון קשה יותר לתיקון מכל באג טכני.

מקור: The Register AI, Explosion (spaCy)