Criar um app só descrevendo o que você quer é a grande promessa das plataformas de vibe coding. Mas uma pesquisa publicada em novembro de 2026 mostra o outro lado: muitos apps do Lovable expõem dados sensíveis para qualquer pessoa, sem login.
A consultoria alemã de segurança Crissy Field analisou 159.041 projetos feitos no Lovable, em parceria com o jornal Handelsblatt. Entre os dados acessíveis estavam números de passaporte, contratos e mais de 200 mil mensagens privadas.
A seguir, você entende o que foi encontrado, por que isso acontece e o que fazer se você criou um app com IA que guarda dados de clientes.
O que é o Lovable
O Lovable é uma startup sueca fundada em Estocolmo em 2023 por Anton Osika e Fabian Hedin. A plataforma transforma descrições em linguagem comum em aplicativos web, pensada para quem tem pouca ou nenhuma experiência com programação.
Ela nasceu do projeto de código aberto GPT Engineer, criado por Osika, e ganhou o nome Lovable no fim de 2024. Segundo os pesquisadores, o marketing destaca que não é preciso conhecimento técnico, enquanto os termos de uso deixam a responsabilidade pelos dados com o cliente.
Essa diferença entre a promessa de “tudo pronto” e a responsabilidade real do usuário é o centro do problema.
O que a pesquisa encontrou
Os pesquisadores usaram o arquivo público Common Crawl para identificar os projetos, criados entre dezembro de 2025 e setembro de 2026. Desses, 34.545 usavam o Supabase como banco de dados.
Em 24.664 sites, registros do banco eram enviados assim que a página carregava, sem login. Isso, por si só, não é falha: pode ser conteúdo público. Mas com consultas extras, só de leitura, foi possível ler mais dados. Em 7.403 desses sites (30%) havia tabelas com endereços de e-mail.
| Caso encontrado | O que estava exposto |
|---|---|
| Fórum alemão de estilo de vida | Mais de 80 mil perfis e mais de 200 mil mensagens de chat |
| Eventos e restaurantes | Dezenas de milhares de registros de vendas, com e-mail, telefone e códigos de ingresso |
| Administradora de imóveis | Resumos de e-mails internos sobre inquilinos e proprietários |
| Prestador de serviços | Mais de 1.000 registros com número, validade e nacionalidade de passaportes |
| Um único provedor | 280 mil e-mails enviados a clientes |
Os próprios autores avisam que os 30% não devem ser lidos como taxa confirmada de vazamento, e que a amostra não representa todos os apps do Lovable. Também não foi possível saber se algum dado foi usado por criminosos.
Por que isso acontece
Erros de controle de acesso existem em qualquer software, feito por gente ou por IA. A diferença, segundo a Crissy Field, é que as integrações de banco no Lovable seguem padrões que se repetem. Um ataque que funciona num app tende a funcionar em outros com pouco esforço.
No Supabase, a chave usada pelo navegador é pública por natureza. Quem protege os dados são as regras de acesso por linha (Row Level Security, ou RLS), que dizem quem pode ler e alterar cada registro. Se essas regras faltam ou estão abertas demais, qualquer visitante consegue consultar a tabela.
Para quem não programa, perceber esse tipo de falha é difícil: o app funciona perfeitamente na tela, e o problema só aparece quando alguém procura por ele.
O que fazer se você tem um app feito com IA
Os pesquisadores recomendam revisar permissões antes de colocar dados reais no app, e repetir a revisão a cada mudança grande. Na prática, comece por estes pontos:
- Liste as tabelas com dados pessoais: nome, e-mail, telefone, documentos, pagamentos.
- Confira se o RLS está ativo em cada uma delas no painel do Supabase e se as regras limitam cada usuário aos próprios registros.
- Teste sem login, como na dica acima, e também logado com uma conta de teste tentando ver dados de outra conta.
- Peça ajuda a quem entende: a pesquisa é clara ao dizer que checagens automáticas não substituem uma avaliação profissional.
Para outros problemas comuns, veja nosso guia com as 5 falhas de segurança que a IA deixa no seu código.
E no Brasil?
A pesquisa analisou apps de forma geral, sem recorte por país, e os casos citados são da Alemanha. Mas a lição vale para qualquer lugar onde o vibe coding virou moda, inclusive aqui.
No Brasil, quem guarda dados pessoais de clientes responde pela Lei Geral de Proteção de Dados (LGPD), não importa se o app foi escrito por um programador ou gerado por IA. Dizer que “a plataforma cuidava disso” não muda essa responsabilidade.
Se você está começando a criar apps com IA, nosso artigo sobre vibe coding no Base44 mostra o fluxo de criação, e os cuidados deste texto valem para qualquer plataforma.
Perguntas frequentes
O Lovable foi invadido?
Não é isso que a pesquisa descreve. O problema está na configuração de acesso de apps criados pelos usuários, não numa invasão da plataforma em si.
Todos os apps do Lovable estão vulneráveis?
Não. A pesquisa olhou uma amostra do Common Crawl, focada em apps com Supabase, e os autores dizem que ela não representa todos os projetos da plataforma.
O Lovable respondeu?
Segundo a Crissy Field, o Handelsblatt procurou o Lovable com os resultados. O relatório não traz a resposta da empresa.
Como sei se o meu app está exposto?
Teste sem login, confira as regras de RLS de cada tabela com dados pessoais e, se o app lida com dados sensíveis, contrate uma revisão de segurança.
Conclusão
A facilidade de criar apps com IA não elimina o trabalho de proteger os dados. A pesquisa da Crissy Field mostra que um erro de configuração repetido em milhares de projetos pode expor de mensagens privadas a passaportes.
Quer ver outro caso recente de segurança no mundo da IA? Leia nossa reportagem sobre o LiteLLM comprometido no PyPI e veja como checar se você foi afetado.