即时应用创建的吸引力正在与基础安全发生冲突
AI 辅助应用构建器让几乎任何人在几分钟内就能生成并部署一个网页应用。这种速度正是它们的吸引力所在。但这也越来越成为问题的一部分。
据 Wired 基于网络安全公司 RedAccess 研究的报道，使用包括 Lovable、Replit、Base44 和 Netlify 在内的工具创建的数千个面向公众的应用，被发现几乎没有任何有意义的安全措施。在超过 5,000 个案例中，只要知道或猜到 URL，应用就可以被任何人访问。RedAccess 联合创始人 Dor Zvi 表示，约 40% 的受检应用暴露了敏感信息。
报道中提到的暴露内容并不轻微。Zvi 说，数据包括医疗信息、财务数据、公司演示、战略文件和客户聊天机器人日志。Wired 还表示，它核实了截图中展示的几款已暴露应用仍然在线且可访问。
这不只是漏洞问题
这份报道最重要的观点是，这些失败中的许多并不是微妙的代码缺陷。它们属于缺失或几乎不存在的访问控制。有些应用据称允许任何使用浏览器的人访问数据。另一些则依赖脆弱的门槛，例如允许访客使用任何电子邮件地址登录。
这种区分很重要，因为它改变了威胁模型。安全团队习惯于寻找可被利用的软件缺陷。而 RedAccess 描述的情况更基础：应用在上线时，根本没有真正明确谁应该被允许进入。
从这个意义上说，“vibe-coded” 应用带来的风险不仅仅是 AI 可能引入新漏洞。更在于同类工具大幅降低了发布软件的阻力，以至于一些创建者完全跳过了基础安全决策。
这些应用是如何被发现的
RedAccess 说，搜索过程出乎意料地简单。报道中提到的平台允许用户把应用托管在公司自有域名上，而不是用户自己控制的域名上。随后，研究人员使用针对这些域名的 Google 和 Bing 简单搜索，并结合其他搜索词，识别出大量 AI 构建的应用。
这一点应该让平台提供商和在内部使用这些工具的组织都感到担忧。它表明这些暴露的应用并不是藏在网页的偏僻角落，而是可以通过普通搜索方法被发现。一旦能够被发现，任何缺失或薄弱的身份验证层都会直接变成数据暴露路径。
