Lovable Projelerinde Yetkisiz Veri Erişimi ve API Riskleri

Doğal dil komutlarıyla çalışan web uygulamaları üretmek işleri hızlandırıyor. Anton Osika ve Fabian Hedin'in 2023'te Stockholm'de kurduğu İsveçli yapay zekâ girişimi Lovable, tam olarak bu vaadi sunuyor. Osika'nın 2023'te yayımladığı açık kaynaklı "GPT Engineer" projesinden doğup önce GPT Engineer App adını alan girişim, 2024 sonlarında Lovable ismine geçerek Kasım 2024'te kullanıma açıldı. Statik sitelerden kullanıcı yönetimi ve veritabanı bağlantısı içeren tam kapsamlı uygulamalara kadar pek çok projeyi kodlama deneyimi olmadan kurabiliyorsun. Sorun veritabanına girdiğinde başlıyor.

159 Binden Fazla Projede Neler Ortaya Çıktı?#

Crissy Field GmbH ekibi, Handelsblatt iş birliğiyle yürüttüğü çalışmada Lovable ile üretilen uygulamaların hassas verileri nasıl koruduğunu inceledi ve Lina Knees bulguları 2 Kasım 2026'da haberleştirdi. Araştırmacılar, açık web arşivi Common Crawl veri kümelerini tarayarak Aralık 2025-Eylül 2026 dönemine ait 159.041 Lovable projesini analiz etti.

İncelemenin merkezinde, Lovable projelerinde en yaygın kullanılan veritabanı servisi olduğu düşünülen Supabase yer aldı. Lovable'ın 2025 sonlarında devreye aldığı kendi veritabanı özellikleri daha az kullanıldığı için kapsam dışı bırakıldı. Analizden çıkan tablo oldukça net:

• İncelenen 159.041 projeden 34.545 tanesi Supabase kullanıyor.
• Bu sitelerin 24.664 tanesi, sayfa ilk yüklendiği anda hiçbir oturum açma işlemi veya kullanıcı etkileşimi istemeden Supabase üzerinden veritabanı kayıtlarını doğrudan tarayıcıya gönderdi.
• Sayfa açılışında kullanılan aynı API anahtarıyla ek salt okunur (read-only) istekler atıldığında, 24.664 sitenin 7.403 tanesinde (%30) yer alan 10.560 tabloda e-posta adresi barındıran kayıtlara ulaşıldı.

Sayfa ilk açıldığında veri gelmesi tek başına güvenlik açığı sayılmaz; bu içerikler herkese açık gösterim için tasarlanmış olabilir. Asıl tehlike, istemciye verilen API anahtarıyla arka plandaki diğer tablolara salt okunur sorgular gönderildiğinde pasaport detayları ve 200 binden fazla özel mesaj gibi mahrem verilerin oturum açmadan okunabilmesiyle başlıyor. E-posta araması test verilerini veya herkese açık iletişim adreslerini de kapsayabilir, e-posta içermeyen kişisel kayıtları ise ıskalayabilir. Yine de tablo ortada.

"Kod Bilmenize Gerek Yok" Vaadi ve Sorumluluk Boşluğu#

Bir geliştirici veya öğrenci olarak yapay zekâ araçlarına kod yazdırırken güvenlik katmanının da otomatik kurulduğunu varsayabilirsin. Lovable pazarlama iletişiminde teknik bilgiye ihtiyaç duyulmadığını sıkça vurguluyor. Bu söylem, güvenlik yapılandırmasını da platformun üstlendiği izlenimini yaratıyor.

İşin hukuki ve teknik gerçeği farklı. Lovable'ın Kullanım Koşulları (Terms & Conditions), uygulamaların ve veri işlemenin sorumluluğunu doğrudan müşterilere yüklüyor. Her şeyi çözen kolay platform vaadi ile kullanıcının sırtına bırakılan güvenlik yükümlülüğü arasında tehlikeli bir boşluk doğuyor. Arayüzde görmediğin bir verinin güvende olduğunu sanırken, istemci tarafına gömülü API anahtarı veritabanındaki tabloları dış dünyaya açabiliyor.

Kendi Projelerinde Neyi Kontrol Etmelisin?#

Hızlı prototipleme araçlarıyla veya Supabase gibi servislerle uygulama geliştirirken yalnızca ekranın çalışmasına odaklanmak yetmez. Üretim ortamına geçmeden önce şu adımları uygula:

• İlk yükleme trafiğini izle: Uygulaman ilk açıldığında oturum açılmadan hangi veritabanı kayıtlarının istemciye gönderildiğini tarayıcı ağ (network) sekmesinden kontrol et. Herkese açık olması gerekmeyen hiçbir veriyi başlangıçta çekme.
• API anahtarını test et: İstemci tarafında kullanılan API anahtarını alıp doğrudan veritabanına ek salt okunur istekler göndererek tabloları sorgula. Arayüzde gizlediğin kayıtlar bu isteklere yanıt veriyorsa erişim kısıtlamaların eksik demektir.
• Yetkilendirmeyi veritabanı katmanında kur: Ön yüzdeki giriş ekranına güvenmek yerine, oturum açmayan kullanıcıların kişisel veri barındıran tablolara erişimini veritabanı seviyesinde kapat. Test aşamasında bile gerçek kullanıcı verisi veya mahrem bilgi kullanmaktan kaçın.

---

Bu konuyu derinlemesine öğrenmek istersen: API Anahtarı modülüne göz at.