AI से बने वेब ऐप्स संवेदनशील डेटा को खुल्लमखुल्ला उजागर कर रहे हैं

तुरंत app बनाने का आकर्षण बुनियादी सुरक्षा से टकरा रहा है

AI-assisted app builders ने लगभग किसी को भी कुछ ही मिनटों में web application बनाने और deploy करने में सक्षम कर दिया है। यही गति उनकी अपील का हिस्सा है। लेकिन यही, बढ़ते हुए, समस्या का भी हिस्सा है।

Wired की रिपोर्टिंग के अनुसार, cybersecurity firm RedAccess के शोध पर आधारित, Lovable, Replit, Base44, और Netlify जैसे tools से बनी हजारों public-facing apps में बहुत कम या कोई meaningful security नहीं पाई गई। 5,000 से अधिक मामलों में, कथित तौर पर applications किसी भी ऐसे व्यक्ति के लिए उपलब्ध थीं जो URL जानता या अनुमान लगा लेता। RedAccess के cofounder Dor Zvi के अनुसार, जांची गई apps में लगभग 40% ने संवेदनशील जानकारी उजागर की।

रिपोर्ट में बताए गए exposed material साधारण नहीं थे। Zvi ने कहा कि data में medical information, financial data, corporate presentations, strategy documents, और customer chatbot logs शामिल थे। Wired ने यह भी कहा कि screenshots में दिखाए गए कई exposed applications अभी भी online और accessible थे।

यह सिर्फ bugs की बात नहीं है

रिपोर्ट का सबसे महत्वपूर्ण बिंदु यह है कि इनमें से कई failures subtle coding flaws नहीं थे। वे missing या लगभग nonexistent access control के मामले थे। कुछ apps ने कथित तौर पर किसी भी browser वाले व्यक्ति को data तक पहुँचने दिया। अन्य ने, रिपोर्ट के अनुसार, बहुत कमजोर बाधाओं पर भरोसा किया, जैसे visitor को किसी भी email address से sign in करने देना।

यह अंतर मायने रखता है क्योंकि इससे threat model बदल जाता है। Security teams software में exploitable defects खोजने के आदी हैं। RedAccess जो वर्णन कर रहा है, वह इससे भी बुनियादी चीज है: applications बिना इस स्पष्ट विचार के live हो रही हैं कि आखिर अंदर किसे आने दिया जाना चाहिए।

इस अर्थ में, “vibe-coded” apps का जोखिम सिर्फ़ इतना नहीं है कि AI नए bugs ला सकता है। बल्कि यह भी है कि वही tooling software publish करने की friction इतनी कम कर देती है कि कुछ creators foundational security decisions पूरी तरह छोड़ देते हैं।

ये apps मिली कैसे

RedAccess ने बताया कि खोज प्रक्रिया आश्चर्यजनक रूप से सीधी थी। रिपोर्ट में नामित platforms users को कंपनियों के अपने domains पर apps host करने देते हैं, न कि users के नियंत्रित domains पर। फिर शोधकर्ताओं ने उन domains को target करने वाली साधारण Google और Bing searches, और कुछ अन्य search terms का उपयोग करके बड़ी संख्या में AI-built apps पहचान लीं।

यह विवरण platform providers और इन tools का आंतरिक उपयोग करने वाले संगठनों, दोनों के लिए चिंता का विषय होना चाहिए। इससे पता चलता है कि exposed apps web के किसी छिपे कोने में नहीं थे। वे सामान्य search methods से खोजे जा सकते थे। एक बार discoverable होने पर, authentication की अनुपस्थिति या कमजोरी सीधे data exposure का रास्ता बन जाती है।

यह बड़ा organizational problem क्यों हो सकता है

Zvi ने leak pattern का वर्णन असाधारण रूप से तीखी भाषा में किया, कहा कि organizations vibe-coding applications के ज़रिए private data उजागर कर रही हैं और यह दुनिया में sensitive information को किसी के लिए भी खोल देने वाले अब तक के सबसे बड़े events में से एक है। security disclosures के साथ अक्सर आने वाली rhetoric को छोड़ भी दें, तो underlying pattern महत्वपूर्ण है।

कंपनियों के भीतर AI development tools के फैलाव ने software creation को अब traditional engineering teams तक सीमित नहीं रहने दिया है। Product managers, analysts, marketers, और operations staff अब prompt और deploy button के साथ internal tools या customer-facing prototypes बना सकते हैं। इससे software कौन लिख रहा है, यह बदलता है, लेकिन software क्या उजागर कर सकता है, यह नहीं बदलता।

यदि कोई कर्मचारी AI-built app को internal data से जोड़कर default settings के साथ publish कर देता है, तो किसी malicious attacker के perimeter breach किए बिना भी पूर्ण data leak हो सकता है। application ही breach बन जाती है।

समस्या के पीछे का सांस्कृतिक बदलाव

यह कहानी आंशिक रूप से technical है, लेकिन आंशिक रूप से cultural भी। AI coding platforms को immediacy के आधार पर बेचा जाता है। वे वादा करते हैं कि software उसी तरह बनाया जा सकता है जैसे presentations या documents बनाए जाते हैं: जल्दी, iterative तरीके से, और बिना ज्यादा specialized training के। यह वादा शक्तिशाली है, खासकर उन organizations में जो तेज़ experimentation चाहती हैं।

लेकिन software केवल एक creative artifact नहीं है। यह एक access surface भी है। जितना आसान apps बनाना होगा, उतना ही आसान insecure apps को बड़े पैमाने पर बनाना हो जाएगा। उस अर्थ में, Wired की रिपोर्ट किसी isolated vendor issue की बजाय shadow IT की एक नई श्रेणी पर शुरुआती चेतावनी की तरह पढ़ी जाती है।

जब hosting, deployment, और discoverability एक ही workflow में built-in हों, तो समस्या और बढ़ जाती है। यदि कोई user कुछ ही मिनटों में app बना सकता है, data connect कर सकता है, और उसे एक major platform domain पर publish कर सकता है, तो governance को upstream आना होगा। Deployment के बाद security review शायद बहुत देर से हो।

आगे क्या होना चाहिए

रिपोर्टिंग हर named platform से formal response नहीं देती, इसलिए सबसे defensible takeaway किसी एक company से बड़ा होना चाहिए। AI app-building ecosystems को authentication और data exposure के लिए मजबूत defaults चाहिए। Users को इस बारे में साफ warnings चाहिए कि क्या public हो जाता है। और organizations को prompt-based app builders को वास्तविक software development environments की तरह मानना चाहिए, न कि harmless productivity tools की तरह।

बड़ा सबक सीधा है। जब app creation instantaneous हो जाती है, तो security optional या assumed नहीं रह सकती। AI software tooling में असली breakthrough सिर्फ़ इस पर नहीं मापा जाएगा कि वह code कितनी तेज़ी से publish कर सकती है। वह इस पर मापा जाएगा कि क्या वह inexperienced builders को अपना data उसके साथ publish करने से रोक सकती है।

यह लेख Wired की रिपोर्टिंग पर आधारित है। मूल लेख पढ़ें.