बहुतेक एंटरप्राइझ सुरक्षा सॉफ्टवेअर सर्व्हर, एंडपॉइंट्स आणि क्लाउड खात्यांचे संरक्षण करण्यासाठी डिझाइन केलेले आहे. त्यांपैकी कोणतेही ग्राहक सेवन फॉर्म शोधण्यासाठी तयार केले गेले नाही जे उत्पादन व्यवस्थापकाने आठवड्याच्या शेवटी Lovable वर कोड केले, लाइव्ह सुपाबेस डेटाबेसशी लिंक केले आणि Google द्वारे अनुक्रमित सार्वजनिक URL वर पोस्ट केले. या अंतराला आता किंमत आहे.
इस्रायली सायबर सिक्युरिटी फर्म RedAccess चे नवीन संशोधन हे प्रमाण निश्चित करते. कंपनीने लव्हेबल, बेस44 आणि रिप्लिट तसेच Netlify प्रकाशन प्लॅटफॉर्मवरील आकर्षक कोडिंग टूल्स वापरून तयार केलेल्या ॲप्लिकेशन्स, डेटाबेसेस आणि संबंधित पायाभूत सुविधांसह 380,000 सार्वजनिकरित्या उपलब्ध मालमत्ता शोधल्या. यापैकी जवळपास 5,000 मालमत्तांमध्ये, सुमारे 1.3%, संवेदनशील कंपनी माहिती आहे. CEO Dor Zvi ने सांगितले की, त्यांच्या टीमने क्लायंटच्या शॅडो AI चे संशोधन करताना हे एक्सपोजर शोधले. Axios ने स्वतंत्रपणे उघड केलेल्या अनेक ॲप्सची पडताळणी केली आणि वायर्डने स्वतंत्रपणे निष्कर्षांची पुष्टी केली.
सत्यापित एक्सपोजरमध्ये: कोणत्या पोर्टवर कोणत्या जहाजांची अपेक्षा करावी याचे तपशील देणारे एक शिपिंग कंपनी ॲप. इंटिरियर हेल्थ कंपनीच्या ॲपने संपूर्ण यूकेमध्ये सक्रिय क्लिनिकल चाचण्या सूचीबद्ध केल्या आहेत आणि ब्रिटीश कॅबिनेट संसाधनाचे संपूर्ण, असंपादित ग्राहक सेवा संभाषणे ओपन वेबवर आहेत. ब्राझिलियन बँकेची अंतर्गत आर्थिक माहिती URL सापडलेल्या प्रत्येकासाठी उपलब्ध होती.
उघड झालेल्या डेटामध्ये बालरोग दीर्घकालीन देखभाल सुविधेतील रुग्णांचे संभाषण, रुग्णालयात डॉक्टर आणि रुग्णाचे सारांश, सुरक्षा कंपनीतील घटना प्रतिसाद रेकॉर्ड आणि जाहिरात खरेदी धोरणे यांचा समावेश आहे. समाविष्ट असलेल्या अधिकारक्षेत्र आणि डेटाच्या आधारावर, आरोग्यसेवा आणि आर्थिक एक्सपोजरमुळे HIPAA, UK मधील GDPR किंवा ब्राझीलमधील LGPD अंतर्गत नियामक दायित्व सुरू होऊ शकतात.
RedAccess ला Lovable वर आधारित फिशिंग साइट सापडल्या ज्या बँक ऑफ अमेरिका, FedEx, Trader Joe’s आणि McDonald’s ची तोतयागिरी करतात. लॅव्हेबल म्हणाले की त्यांनी फिशिंग साइट्सची तपासणी आणि काढून टाकण्यास सुरुवात केली आहे.
डीफॉल्ट सेटिंग्ज समस्या आहेत
बऱ्याच गंभीर प्रोग्रामिंग प्लॅटफॉर्मवरील गोपनीयता सेटिंग्ज ॲप्स सार्वजनिकरित्या प्रवेशयोग्य बनवतात जोपर्यंत वापरकर्ते व्यक्तिचलितपणे खाजगी करत नाहीत. यापैकी बरेच ॲप्स Google आणि इतर शोध इंजिनद्वारे अनुक्रमित केले जातात. त्यांना कोणीही अडखळू शकते. Zvi ने स्पष्टपणे सांगितले: “मला वाटत नाही की संपूर्ण जगाला सुरक्षिततेबद्दल शिक्षित करणे शक्य आहे. माझी आई (भावना एन्कोड करते) प्रियकरासह, गुन्हा नाही, परंतु मला वाटत नाही की ती भूमिका-आधारित प्रवेशाचा विचार करेल.”
हा एक वेगळा शोध नाही
ऑक्टोबर 2025 मध्ये, Escape.tech ने सार्वजनिकरीत्या उपलब्ध असलेल्या 5,600 एनक्रिप्टेड ॲप्लिकेशन्सची तपासणी केली आणि 2,000 हून अधिक उच्च-प्रभाव भेद्यता, API की आणि ऍक्सेस टोकन्ससह 400 हून अधिक उघड गुपिते आणि वैद्यकीय नोंदी आणि बँक खाते क्रमांक असलेल्या वैयक्तिक डेटाचे 175 एक्सपोजर आढळले. Escape मध्ये आढळलेली प्रत्येक भेद्यता थेट उत्पादन प्रणालीमध्ये उपस्थित होती आणि काही तासांत शोधली जाऊ शकते. संपूर्ण अहवाल पद्धतीचे दस्तऐवजीकरण करतो. एस्केपने मार्च 2026 मध्ये बाल्डरटनच्या नेतृत्वात $18 दशलक्ष मालिका ए स्वतंत्रपणे उभारली, कोर मार्केट थीसिस म्हणून AI-जनरेट केलेल्या कोडद्वारे उघडलेल्या सुरक्षा अंतराचा हवाला देऊन.
गार्टनरच्या “प्रेडिक्शन्स 2026” अहवालात असे भाकीत केले आहे की 2028 पर्यंत, नागरिक विकासकांनी अवलंबलेल्या ऑन-द-फ्लाय अंमलबजावणी पद्धतीमुळे सॉफ्टवेअर दोषांमध्ये 2,500% वाढ होईल. गार्टनर दोषांची एक नवीन श्रेणी ओळखतो जिथे AI सिंटॅक्टिकली योग्य कोड तयार करते परंतु व्यापक सिस्टम आर्किटेक्चर आणि अचूक व्यवसाय नियमांबद्दल जागरूकता नसते. या सखोल संदर्भातील त्रुटींचे निराकरण करण्याच्या खर्चामध्ये नावीन्यतेसाठी पूर्वी वाटप केलेले बजेट खर्च होईल.
छाया AI गुणक आहे
IBM च्या 2025 कॉस्ट ऑफ अ डेटा ब्रीच अहवालात असे आढळून आले की 20% संस्थांनी सावल्यांमध्ये AI-संबंधित उल्लंघनांचा अनुभव घेतला. त्या घटनांनी उल्लंघनाच्या सरासरी खर्चात $670,000 जोडले, ज्यामुळे सरासरी AI उल्लंघन $4.63 दशलक्ष झाले. एआय-संबंधित उल्लंघनांची तक्रार करणाऱ्या संस्थांपैकी 97% मध्ये योग्य प्रवेश नियंत्रणे नाहीत. आणि 63% हॅक केलेल्या संस्थांकडे AI गव्हर्नन्स धोरण नव्हते.
शॅडो एआय उल्लंघनांमध्ये ग्राहकांची वैयक्तिकरित्या ओळखण्यायोग्य माहिती असमानतेने उघड झाली आहे 65%, सर्व उल्लंघनांमध्ये 53% च्या तुलनेत, आणि प्रभावित डेटा 62% वेळा एकाधिक वातावरणात वितरित केला गेला आहे. AI गव्हर्नन्स पॉलिसी असलेल्या केवळ 34% संस्थांनी अनधिकृत AI टूल्सचे नियमित ऑडिट केले आहे. व्हेंचरबीटने केलेल्या शॅडो एआय संशोधनाचा अंदाज आहे की सक्रियपणे वापरलेले सावली अनुप्रयोग 2026 च्या मध्यापर्यंत दुप्पट होऊ शकतात. सायबरहेवन डेटामध्ये असे आढळून आले की एंटरप्राइझ वातावरणातील 73.8% कामाच्या ठिकाणी ChatGPT खाती अनधिकृत आहेत.
प्रथम काय करावे
खालील लेखापरीक्षण फ्रेमवर्क आयटी व्यवस्थापकांना पाच क्षेत्रांमध्ये एनक्रिप्टेड ऍप्लिकेशन जोखमीचे वर्गीकरण करण्यासाठी एक प्रारंभिक बिंदू देते.
|
स्पेशलायझेशन |
सद्य स्थिती (बहुतेक संस्था) |
लक्ष्य देश |
पहिली कृती |
|
शोध |
मार्कअप केलेल्या अनुप्रयोगांसाठी दृश्यमानता नाही |
बायोमेट्रिक प्लॅटफॉर्म डोमेनचे स्वयंचलित स्कॅनिंग |
कंपनी मालमत्तेशी संबंधित लव्हेबल, रिप्लिट, बेस44 आणि नेटलिफाई सबडोमेनसाठी DNS+ प्रमाणपत्र पारदर्शकता तपासणी चालवा |
|
प्रमाणीकरण |
प्लॅटफॉर्म डीफॉल्ट (डीफॉल्टनुसार सार्वजनिक) |
तैनातीपूर्वी SSO/SAML एकत्रीकरण आवश्यक आहे |
अप्रमाणित अनुप्रयोगांना अंतर्गत डेटा स्त्रोतांमध्ये प्रवेश करण्यापासून प्रतिबंधित करा |
|
कोड स्कॅन करा |
नागरिकांनी तयार केलेल्या ॲप्ससाठी शून्य कव्हरेज |
उत्पादनापूर्वी SAST/DAST अनिवार्य |
टोकनाइज्ड डिप्लॉयमेंट कव्हर करण्यासाठी विद्यमान AppSec पाइपलाइन विस्तृत करा |
|
डेटा नुकसान प्रतिबंध |
डायनॅमिक एन्कोडर बँडसाठी कोणतेही DLP कव्हरेज नाही |
Lovable, Replit, Base44 आणि Netlify कव्हर करणारी DLP पॉलिसी |
विद्यमान DLP नियमांमध्ये Vibe प्रोग्रामिंग प्लॅटफॉर्म स्कोप जोडा |
|
निवाडा |
एआय किंवा एआय शॅडो डिटेक्शन वापरण्यासाठी कोणतेही धोरण नाही |
अनधिकृत साधनांच्या नियमित ऑडिटसह AI गव्हर्नन्स धोरण |
पूर्व-प्रकाशन पुनरावलोकन पोर्टलद्वारे AI कोडिंग साधनांसाठी स्वीकार्य वापर धोरण प्रकाशित करा |
एक CISO जो या समस्येला पॉलिसी समस्या मानतो तो एक मेमो लिहितो. आर्किटेक्चरल इश्यू म्हणून या समस्येकडे जाणारा मुख्य माहिती सुरक्षा अधिकारी (CISO) चार सर्वात मोठ्या बायोमेट्रिक टोकनायझेशन डोमेनवर शोध स्कॅनिंग तैनात करेल, तैनातीपूर्वी सुरक्षा पुनरावलोकनाची आवश्यकता असेल, नागरिकांनी तयार केलेले अनुप्रयोग समाविष्ट करण्यासाठी सध्याच्या AppSec पाइपलाइनचा विस्तार करेल आणि पुढील बोर्ड बैठकीपूर्वी डेटा लॉस प्रतिबंध (DLP) नियमांमध्ये ही डोमेन जोडेल. यापैकी एक माहिती सुरक्षा अधिकारी खालील पत्ता टाळतो.
RedAccess द्वारे दस्तऐवजीकरण केलेले बायोमेट्रिक एक्सपोजर ही शॅडो AI पेक्षा वेगळी समस्या नाही. हा एआय शॅडो प्रोडक्शन लेयर आहे. कर्मचारी प्लॅटफॉर्मवर अंतर्गत साधने तयार करतात जे लोकांसाठी डीफॉल्ट असतात, प्रमाणीकरण बायपास करतात आणि कोणत्याही मालमत्ता यादीमध्ये कधीही दिसत नाहीत, म्हणजे हॅक बाहेर येईपर्यंत किंवा रिपोर्टरने प्रथम शोधले नाही तोपर्यंत ॲप्स सुरक्षा टीमसाठी अदृश्य राहतात. पारंपारिक मालमत्ता शोध साधने सर्व्हर, कंटेनर आणि क्लाउड उदाहरणे शोधण्यासाठी डिझाइन केलेली आहेत. उत्पादन व्यवस्थापकाने वीकेंडमध्ये Lovable वर तयार केलेला, थेट ग्राहक रेकॉर्ड असलेल्या सुपाबेस डेटाबेसशी कनेक्ट केलेला आणि Google ने काही तासांत अनुक्रमित केलेल्या सार्वजनिक URL द्वारे तीन बाहेरील कंत्राटदारांसह शेअर केलेला मार्केटिंग घटक शोधण्याचा त्यांच्याकडे कोणताही मार्ग नव्हता.
शोधण्याचे आव्हान बहुतेक सुरक्षा संघांच्या लक्षात येण्यापेक्षा खोल आहे. व्हायब-कोडेड ॲप्लिकेशन्स प्लॅटफॉर्म सबडोमेनवर तैनात केले जातात जे वारंवार फिरतात आणि बहुतेकदा मूळ पायाभूत सुविधा लपवणाऱ्या CDN स्तरांच्या मागे असतात. परिपक्व, सुरक्षित वेब पोर्टल्स किंवा CASB किंवा DNS नोंदणी व्यवस्थापित करणाऱ्या संस्था या डोमेनमधील कर्मचारी प्रवेश शोधू शकतात. परंतु ॲक्सेस डिटेक्शन हे काय पोस्ट केले आहे, त्यात कोणता डेटा आहे किंवा त्याला प्रमाणीकरण आवश्यक आहे की नाही याची यादी करणे समान नाही. प्रमुख क्रिप्टो प्लॅटफॉर्मचे स्पष्ट निरीक्षण न करता, अनुप्रयोग स्वतःच पारंपारिक SIEM किंवा एंडपॉइंट टेलीमेट्रीमध्ये मर्यादित सिग्नल तयार करतात. हे नेटवर्क दृश्यमानता आणि ऍप्लिकेशन इन्व्हेंटरीमधील अंतरामध्ये अस्तित्वात आहे जे बहुतेक सुरक्षा सूट कव्हर करण्यासाठी डिझाइन केलेले नाहीत.
प्लॅटफॉर्म प्रतिसाद कथा सांगतात
रिप्लिटचे सीईओ अमजद मसाद म्हणाले की, रेडएक्सेसने त्यांच्या कंपनीला प्रेसमध्ये जाण्यापूर्वी फक्त 24 तास दिले. Base44 (Wix द्वारे) आणि Lovable या दोघांनी सांगितले की RedAccess मध्ये परिणामांची पडताळणी करण्यासाठी आवश्यक URL किंवा तांत्रिक तपशील समाविष्ट नाहीत. कोणत्याही प्लॅटफॉर्मने उघड केलेल्या अनुप्रयोगांचे अस्तित्व नाकारले नाही.
जुलै 2025 मध्ये विझ रिसर्चने स्वतंत्रपणे शोधून काढले की बेस44 मध्ये प्लॅटफॉर्म-स्तरीय प्रमाणीकरण बायपास आहे. उघड केलेले API एंडपॉइंट कोणालाही सार्वजनिकरित्या दृश्यमान app_id पेक्षा अधिक काहीही वापरून खाजगी ॲप्सवर सत्यापित खाते तयार करण्यास अनुमती देतात. दोष म्हणजे बंद इमारतीसमोर दिसणे आणि रूम नंबर ओरडणे दरवाजे उघडण्यासाठी पुरेसे होते. Wiz ने अहवाल दिल्यानंतर 24 तासांच्या आत Wix ने असुरक्षितता पॅच केली, परंतु या घटनेने प्लॅटफॉर्मवर प्रमाणीकरण स्तर किती कमकुवत आहे हे उघड केले आहे जेथे लाखो ॲप्स वापरकर्त्यांनी तयार केले आहेत जे प्लॅटफॉर्म त्यांच्यासाठी सुरक्षा हाताळतात.
पॅटर्न संपूर्ण बायोकोडिंग इकोसिस्टममध्ये सुसंगत आहे. CVE-2025-48757 ने लव्हेबलद्वारे व्युत्पन्न केलेल्या सुपाबेस प्रकल्पांमध्ये अपुरी किंवा गहाळ पंक्ती-स्तरीय सुरक्षा धोरणांचे दस्तऐवजीकरण केले आहे. काही क्वेरींनी 170 पेक्षा जास्त उत्पादन अनुप्रयोगांवरील डेटा उघड करून, प्रवेश तपासण्यांना पूर्णपणे बायपास केले. कृत्रिम बुद्धिमत्तेने डेटाबेस स्तर तयार केला. त्याने सुरक्षा धोरणे तयार केली नाहीत ज्यामुळे डेटा कोण वाचू शकतो यावर निर्बंध घालायला हवे होते. लव्हेबल CVE पदनामावर विवाद करते, हे लक्षात घेऊन की वैयक्तिक ग्राहक त्यांच्या अनुप्रयोग डेटाचे संरक्षण करण्याची जबाबदारी स्वीकारतात. हा वाद स्वतःच एक मूलभूत तणाव दर्शवतो: प्लॅटफॉर्म जे तंत्रज्ञान नसलेल्या बिल्डर्सना मार्केट करतात ते वापरकर्त्यांकडे सुरक्षिततेची जबाबदारी हलवतात ज्यांना ते अस्तित्वात आहेत हे माहित नाही.
सुरक्षा संघांसाठी याचा अर्थ काय आहे
RedAccess परिणाम चित्र पूर्ण करतात. व्यावसायिक प्रॉक्सींना एका स्तरावर क्रेडेन्शियल चोरीचा सामना करावा लागतो. दुसरीकडे सिटीझन प्लॅटफॉर्मना डेटा एक्सपोजरचा सामना करावा लागतो. संरचनात्मक बिघाड समान आहे. तैनातीनंतर सुरक्षा पुनरावलोकन केले जाते की नाही. ओळख आणि प्रवेश व्यवस्थापन प्रणाली मानवी वापरकर्त्यांचा आणि सेवा खात्यांचा मागोवा ठेवतात. विक्री ऑपरेशन विश्लेषकाने गेल्या मंगळवारी तैनात केलेल्या लव्हेबल ॲपचा ते मागोवा घेत नाहीत, जे थेट CRM डेटाबेसशी कनेक्ट केलेले आहे आणि सार्वजनिक URL द्वारे तीन बाहेरील कंत्राटदारांसह सामायिक केले आहे.
डेटाबेस धोरणे डेटा कोण वाचू शकतात किंवा API एंडपॉइंट्सना प्रमाणीकरण आवश्यक आहे का हे प्रतिबंधित करते की नाही हे कोणीही विचारत नाही. जेव्हा हे प्रश्न एआय जनरेशनच्या वेगाने विचारले जात नाहीत, तेव्हा एक्सपोजरचे प्रमाण कोणत्याही मानवी पुनरावलोकन प्रक्रियेशी जुळण्यापेक्षा वेगाने वाढते. सुरक्षा नेत्यांसाठी प्रश्न हा नाही की एनक्रिप्टेड अनुप्रयोग त्यांच्या परिमितीत अस्तित्वात आहेत की नाही. डेटा किती लोकांकडे आहे आणि कोण कोणाला दृश्यमान आहे हा प्रश्न आहे. RedAccess चे निष्कर्ष सूचित करतात की उत्तर, बहुतेक संस्थांसाठी, कार्यकारी संचातील कोणासही सध्या माहित असलेल्यापेक्षा वाईट आहे. या आठवड्यात सर्वेक्षण सुरू करणाऱ्या संस्था शोधून काढतील. जे वाट पाहतील ते पुढे स्वतःबद्दल वाचतील.
