AI aplikace odhalují chyby v přístupech i platbách

V kostce

• Matt Palmer prověřil 1 645 aplikací na Lovable a u 170 získal přístup k osobním údajům.
• U české aplikace šlo objednat poukazy za 100 tisíc korun a zaplatit jednu korunu.
• Snadnee uvádí, že při více než 200 auditech nachází v aplikaci zpravidla 17 až 35 chyb.

Bezpečnostní výzkumník Matt Palmer získal přístup k osobním údajům uživatelů u 170 z 1 645 aplikací vytvořených na platformě Lovable. V českém případě auditoři odhalili chybu, která umožňovala objednat dárkové poukazy v hodnotě 100 tisíc korun a zaplatit za ně jednu korunu. Zjištění ukazují, že funkční aplikace vytvořená pomocí AI nemusí správně kontrolovat přístupy ani obchodní logiku.

Palmer podle CzechCrunch prošel aplikace ručně loni v květnu. Přístup k osobním údajům získal přibližně u každé desáté z nich. Konkrétní podrobnosti k těmto případům článek neuvádí. Český nález pocházel z auditu společnosti Snadnee: server při platbě neporovnával hodnotu objednaného poukazu se zaplacenou částkou, takže bylo možné upravit údaje o objednávce.

Snadnee nabízí kontrolu aplikací vytvořených s pomocí AI pod názvem VibeAudit. Zakladatel firmy Jan Ševčík uvedl, že společnost provedla přes 200 auditů a v jedné aplikaci obvykle nachází 17 až 35 chyb různé závažnosti. Kritických chyb, které lze podle něj zneužít okamžitě a bez hlubších technických znalostí, bývá dvě až šest. Jde o výsledky auditů aplikací, jejichž provozovatelé se rozhodli nechat je prověřit; Ševčík upozorňuje, že nejde o obraz celého trhu.

Podle Ševčíka jsou častým problémem přešlapy v aplikační logice, kdy model nepokryje všechny možné situace. U jedné auditované aplikace například šest rozhraní neověřovalo, zda je uživatel přihlášený. Návštěvník tak mohl přistupovat k osobním údajům, nahrávat soubory s nejvyšším oprávněním nebo spouštět placená volání jazykových modelů, jejichž náklady nesl provozovatel.

Další případ podle Ševčíka ukázal, že ani rozsáhlé testování nemusí odhalit zásadní bezpečnostní chybu. Aplikace měla téměř dva tisíce automatických testů, přesto její dokumentace obsahovala citlivé přihlašovací a šifrovací klíče i heslo k databázi. Podle zakladatele Snadnee mohl kdokoli vytvořit účet s libovolnými oprávněními, včetně administrátorských.

VibeAudit podle popisu společnosti kombinuje kontrolu pomocí AI agentů se závěrečným prověřením seniorním vývojářem. Standardní audit zahrnuje více než 50 kontrolních bodů a posuzuje také kvalitu kódu, strukturu databáze a výkon. Firma uvádí, že její služba stojí od šesti tisíc korun; výstupem je zpráva se zjištěními a doporučeními k nápravě.

Článek popisuje také zkušenost podnikatelky Denisy Hrubešové, jejíž vedlejší weby čelily po zveřejnění článku automatizovaným návštěvám a útokům. Uvedla, že její platforma Forendors s vibekódováním nesouvisí a spravují ji programátoři. Po auditu jednoho z vedlejších webů podle Ševčíka nebyl nalezen žádný kritický problém; několik méně závažných věcí bylo třeba opravit.

Zdroje

1. CzechCrunchcc.cz