Un investigador de seguridad descubre 16 vulnerabilidades críticas en una aplicación educativa promocionada por Lovable

Una investigación de seguridad ha destapado graves fallos en una aplicación educativa que Lovable, la plataforma de desarrollo de software impulsada por inteligencia artificial valorada en 6.600 millones de dólares, utilizaba como caso de éxito en su catálogo público. El investigador halló 16 vulnerabilidades de seguridad, seis de ellas de carácter crítico, en una aplicación que contaba con más de 100.000 visualizaciones en el escaparate de Lovable y usuarios activos procedentes de universidades de prestigio como UC Berkeley y UC Davis, así como de instituciones educativas distribuidas por Europa, África y Asia. El fallo más grave radicaba en la lógica de autenticación de la plataforma, que funcionaba de manera inversa a lo previsto: bloqueaba el acceso a usuarios autenticados mientras permitía el acceso sin restricciones a visitantes anónimos. Este patrón es característico del código generado por sistemas de inteligencia artificial que produce un funcionamiento aparente sin haber sido sometido a revisión exhaustiva de seguridad. La exposición de datos fue masiva. La aplicación permitía acceder sin autenticación a los registros de 18.697 usuarios, incluyendo nombres, direcciones de correo electrónico y roles asignados. Otros fallos críticos identificados posibilitaban la eliminación de cuentas de usuario, la modificación de calificaciones de estudiantes y el envío de correos en masa sin ningún tipo de validación de permisos. Los datos de organizaciones empresariales asociadas a 14 instituciones académicas también se encontraban expuestos y eran accesibles sin restricción alguna. Cuando el investigador reportó los hallazgos a Lovable, la empresa cerró la incidencia sin aparente seguimiento. Posteriormente, tras la publicidad generada en redes sociales, el equipo de seguridad de Lovable se puso en contacto directo con el investigador para solicitar el informe completo y comunicó que estaba investigando activamente el asunto. Este incidente plantea cuestiones fundamentales sobre la madurez de las plataformas de programación asistida por inteligencia artificial y la responsabilidad de las empresas que promocionan aplicaciones generadas con estas herramientas. Aunque estas plataformas ofrecen velocidad de desarrollo sin precedentes, el caso evidencia que el código generado automáticamente requiere escrutinio de seguridad equivalente al de cualquier aplicación tradicional, especialmente cuando procesa datos sensibles de usuarios. La exposición también subraya la necesidad de establecer protocolos más rigurosos de validación antes de promocionar aplicaciones públicamente, así como mecanismos más robustos de respuesta ante informes de vulnerabilidades en plataformas que actúan como intermediarias entre desarrolladores y usuarios finales.