Lovable ile Yapılan Uygulamalardan Pasaport ve 200 Bin Mesaj Sızdı

7 bin 400 sitede açık veritabanı kapıları

Lovable ile oluşturulan uygulamaların taranması, binlerce projenin kimlik doğrulaması olmadan veritabanı okuma isteklerine izin verdiğini kanıtladı.

Alman ekonomi yayını Handelsblatt ile iş birliği yapan güvenlik danışmanlığı şirketi Crissy Field, İsveç merkezli Lovable platformu üzerinde üretilmiş 159.041 projeyi mercek altına aldı. Araştırmacılar, Aralık 2025 ile Eylül 2026 arasında Common Crawl kayıtlarına giren bağlantıları taradı ve özellikle Supabase veritabanı altyapısını kullanan dağıtımlara odaklandı.

Supabase kullanan 34.545 uygulamanın 24.664'ü, sayfa yüklendiği anda hiçbir kimlik doğrulaması aramadan veritabanı kayıtlarını doğrudan tarayıcıya aktarıyordu. Ön yüzde bulunan herkese açık API anahtarlarıyla temel okuma sorguları çalıştıran araştırmacılar, 7.403 siteden (örneklemin yaklaşık üçte biri) doğrudan e-posta adreslerini çekmeyi başardı.

Sorun Supabase'in kendi sunucu altyapısındaki bir kırımdan kaynaklanmıyor. Asıl mesele, otomatik kod üretimi sırasında satır düzeyinde güvenlik (Row Level Security - RLS) kurallarının devreye sokulmaması. Benzer denetimsizlikler sektörün başka alanlarında da yaşanıyor; nitekim yapay zekâ kod ajanları baskı altında gizli anahtarları sızdırdı haberimizde de gördüğümüz gibi, yazılım süreçlerine koruma duvarı olmadan müdahale eden otonom araçlar ciddi güvenlik riskleri doğuruyor.

Kiracı dosyalarından pasaport bilgilerine

Denetimde ortaya çıkan veriler sıradan deneme kayıtlarının çok ötesine geçiyor. Ağır vakalardan birinde bir hizmet sağlayıcı, 1.000'den fazla kimlik kaydını barındıran tabloyu tamamen korumasız bıraktı; kullanıcıların adları, milliyetleri, belge son kullanma tarihleri ve pasaport numaraları ortalığa saçıldı.

Aynı altyapıyla kurulan bir Alman yaşam tarzı forumu, 80.000 kullanıcı profilinin yanında şifrelenmemiş 200.000'den fazla özel mesajlaşma kaydını açığa çıkardı. Biletleme ve restoran rezervasyon araçlarında ise adresler, bilet kodları ve ödeme makbuzları erişilebilir durumdaydı. Bir gayrimenkul yönetim aracının, kiracılar ve bina sahipleri arasındaki hukuki anlaşmazlıkları özetleyen yapay zekâ raporlarını dışarıya açık sunduğu görüldü.

Lovable yazılımları birbirini tekrarlayan şablonlarla ürettiği için mimari hatalar da kopyalanıyor. Bir uygulamadaki veritabanı sızıntısını çözen araştırmacılar, aynı yapılandırma hatasını diğer Lovable projelerinde de neredeyse hiç zorlanmadan bulabildi.

Kodsuz geliştirmenin hukuki sorumluluk tuzağı

GPT Engineer projesinden doğan ve 2024 sonunda Anton Osika ile Fabian Hedin tarafından kurulan Lovable, pazarlamasını 'kod veya altyapı bilmeden herkesin yazılım çıkarabileceği' fikri üzerine kurdu. Ancak bu kolaylığın arkasında ciddi bir hukuki çelişki yatıyor.

Lovable'ın kullanıcı sözleşmesi, veri koruma ve güvenlik yönetimi yükümlülüğünü doğrudan hesap sahibine bırakıyor. İki cümlelik bir istemle (prompt) site oluşturan acemi bir kullanıcının; veritabanı erişim izinlerini, kimlik doğrulama başlıklarını ve RLS politikalarını denetlemesi hukuken bekleniyor. Oysa bu kişilerin çoğu teknik arka plana sahip değil.

Araştırmacılar verilerin kötü niyetli hacker'lar tarafından çalındığına dair şimdilik bir iz olmadığını söylese de risk büyük. Teknik karmaşıklığı kullanıcıdan saklayan platformlar, veriyi korumak için gereken temel sertleştirme adımlarını da çoğu zaman görünmez kılıyor.

Türkiye'deki girişimciler ve kullanıcılar ne yapmalı?

Türkiye'de son dönemde no-code araçlarıyla MVP (asgari uygulanabilir ürün) geliştiren çok sayıda yerli girişimci ve serbest çalışan, hızlı prototip üretmek için Lovable ve Supabase ikilisini tercih ediyor. Eğer bu araçlarla müşteri formu toplayan, kullanıcı kaydı alan veya rezervasyon yöneten bir siteniz varsa Supabase panelinize acilen girmeniz şart. Hassas veri tutan tüm tablolarda Row Level Security (RLS) özelliğini aktif hale getirin ve anonim API anahtarının tüm veritabanını okumasını engelleyin.

Yeni yayına girmiş butik sitelere, yerli rezervasyon sayfalarına veya yapay zekâ araçlarına T.C. kimlik numarası, pasaport bilgisi veya kurumsal yazışma giren kullanıcıların ise olası oltalama saldırılarına karşı dikkatli olması gerekiyor. Lovable, eski projelerdeki açıkları geriye dönük olarak otomatik kapatan bir yama aracı henüz sunmuş değil; bu nedenle KVKK kapsamında idari para cezasıyla karşılaşmak istemeyen yerel proje sahiplerinin veritabanı izinlerini elle denetlemesi gerekiyor.