Lovable 生成应用暴露护照信息与逾 20 万条私信
安全研究称，大量由 AI 应用生成器 Lovable 生成的网站通过随前端公开的只读 API 密钥，以及 Supabase（常用后端数据库服务）的宽松默认配置，暴露了护照信息和超过 20 万条私信等敏感数据。问题影响使用这类工具的开发者：即使没有主动编写攻击代码，默认设置也可能让数据库可被公开读取；根因部分在平台配置，而非模型能力。现有材料未给出受影响应用的确切数量，也未说明 Lovable 或 Supabase 是否已作出回应。
背景
Lovable 是一个用自然语言生成 Web 应用的 AI 构建器，常把后端数据库和登录功能接到 Supabase。Lovable 的文档明确提醒，若多个项目共用同一个 Supabase 项目，密钥（包括 LOVABLE_API_KEY）会互相覆盖，相关功能会失效——这说明生成应用的后端配置与密钥管理本就是容易出错的环节。
对使用者的直接影响
对用 Lovable 搭配 Supabase 搭建应用的开发者来说，关键结论是：前端打包的 anon key 按设计就是公开的，因此数据是否可被读取，取决于数据库的行级安全（RLS）策略，而不取决于这把 key 本身是否被发现。Supabase 社区讨论也指出，在默认设置下，匿名用户很容易直接探测 API（服务端仍要求携带有效 JWT），所以上线前应逐表确认 RLS 已启用，并把可读范围收窄到必要字段和行，而不能只靠把 key 从代码里藏起来。
社区讨论
评论区的核心分歧在于这算不算“入侵”：有读者认为数据既然随只读密钥公开，问题在发布方而非读取者；也有人认为 Supabase 长期宽松的默认配置应承担部分责任，且 AI 生成应用让普通用户更难判断风险。
