Lovable製アプリでパスポート情報など大量流出
原題: Lovable apps expose passport details and more than 200K private messages
なぜ重要か
ノーコードAIツールが急拡大する中、セキュリティ責任の所在が開発者とプラットフォームの間で曖昧になるリスクを示した初の大規模実証研究として業界への波及が大きい。
セキュリティ調査会社Crissy Field GmbHは2026年11月2日、スウェーデンのAIスタートアップLovableのプラットフォームで構築された159,041件のプロジェクトを分析した結果、ログイン不要で個人情報にアクセスできる事例を多数確認したと発表した。パスポート情報や20万件超のプライベートメッセージが含まれており、同社はHandelsblatとの共同調査として結果を公開した。
Crissy Field GmbHが公開したリポートによると、AIを使ってノーコードでWebアプリを構築できるLovableのプラットフォームで、機密データが認証なしに外部から参照可能な状態に置かれていた事例が複数確認された。
Lovableは2023年にAnton OsikaとFabian HedinがStockholmで設立したスウェーデンのAIスタートアップ。オープンソースプロジェクト「GPT Engineer」を起源とし、2024年末にLovableへ改称して公開ローンチした。プログラミング経験ゼロでもWebアプリを構築できる点をマーケティングで強調しているが、利用規約ではデータ管理の責任はユーザー側にあると明記している。
調査はCommon CrawlのデータセットからLovable製プロジェクト159,041件を特定し、2025年12月から2026年9月にかけて分析した。このうち34,545件がデータベースサービスSupabaseを利用。さらに24,664件のサイトが、ログインや操作なしにページ読み込み時点でSupabaseのデータベースレコードを外部に送出していた。
追加の読み取り専用リクエストを発行したところ、24,664件のうち7,403件（約30%）のサイトの10,560テーブルでメールアドレスを含むレコードが取得可能だった。具体的な流出情報の例としてパスポート情報や20万件を超えるプライベートメッセージが挙げられている。
研究チームは、メールアドレスが公開連絡先やテストデータである場合もあることや、メールアドレスを含まない個人情報は計測から漏れる点を限界として認めており、30%という数字を「確定的な情報漏洩率」とは位置づけていない。ただし、ノーコードAIツールが「セキュリティも自動で面倒を見てくれる」という誤解をユーザーに与えかねない構造的問題を鋭く指摘している。