Lovable, la plataforma sueca de "vibe coding" que presume más de 50 millones de proyectos entregados y 1.2 millones de apps nuevas por semana, tiene un problema que no es un hackeo: es una casilla que casi nadie marca. Un escaneo independiente de la firma alemana de seguridad Crissy Field, publicado junto con Handelsblatt, revisó 159,041 proyectos construidos con Lovable y encontró que 24,664 de los que usan Supabase como base de datos — 34,545 en total — entregaban registros completos al navegador de cualquier visitante, sin login, sin API key, sin pedir permiso. No hizo falta explotar nada: los investigadores solo miraron lo que la propia página le manda a cualquiera que la abre.
Qué encontraron exactamente
Lo que estaba ahí era serio. En 7,403 de esos proyectos se podían leer direcciones de correo en más de 10,500 tablas distintas. Un proveedor de servicios dejó expuestos más de 1,000 registros de pasaporte, con fecha de expiración y nacionalidad incluidas. Un foro alemán de lifestyle filtró más de 200,000 mensajes privados y más de 80,000 perfiles de usuario, con nombres, correos y fechas de nacimiento. Organizadores de eventos y restaurantes tenían a la vista decenas de miles de órdenes y boletos con correos, teléfonos, direcciones y datos de pago. Una empresa de administración de propiedades expuso resúmenes generados por IA de correos internos con información de inquilinos y propietarios. Nada de esto requirió un ataque sofisticado — era información pública por default, visible con una simple petición de red.
Row Level Security: la casilla que nadie marcó
La causa raíz no está en la infraestructura de Lovable, sino en cómo se construyen las apps que genera. Lovable usa Supabase como base de datos casi por default, y Supabase trae Row Level Security (RLS) desactivado de fábrica. RLS es la regla que le dice a la base de datos "este usuario solo puede ver sus propios datos" — sin ella, cualquier tabla queda abierta a quien sepa la URL correcta del proyecto. Activarla no es difícil técnicamente, pero tampoco es automática, y ahí está el problema real: una herramienta que promete que "no necesitas saber programar" tampoco te avisa, en el momento en que publicas, que ahora eres responsable de configurar permisos de acceso a nivel de base de datos.
Crissy Field lo resumió sin rodeos: una plataforma fácil de usar no elimina la necesidad de una revisión experta de permisos cuando la app maneja datos confidenciales. Lovable, por su parte, describió el problema como algo "conocido e industrywide" relacionado con Supabase — lo cual es cierto, pero también es la misma empresa cuyo marketing vende velocidad y cero código como la gran ventaja, sin mencionar con el mismo tamaño de letra qué queda bajo tu responsabilidad.
No es la primera vez — y ese es el patrón real
Esto no es un incidente aislado para Lovable en 2026. En febrero, un investigador independiente encontró 16 vulnerabilidades (6 críticas) en una app de EdTech construida en la plataforma, con 18,697 registros expuestos, incluidos 4,538 de estudiantes de universidades top de EU — su reporte fue cerrado sin respuesta. En abril, cuentas gratuitas podían acceder al código fuente y al historial de chats de IA de otros usuarios; Lovable primero dijo que no hubo brecha y llamó a la exposición "comportamiento intencional", para después admitir que una migración de backend había vuelto a exponer cada proyecto creado antes de noviembre de 2025, con historiales de chat que incluían API keys públicas durante 48 días.
El patrón importa más que cada incidente individual: la velocidad con la que se generan apps con IA está creciendo mucho más rápido que la revisión de seguridad que las acompaña. Datos del contexto más amplio lo confirman — OX Security reporta que el 62% del código generado por IA sale con fallas de diseño o vulnerabilidades conocidas, y la Cloud Security Alliance rastreó 74 CVEs vinculados a IA hasta marzo de 2026, un incremento de 6x mes contra mes (investigadores de Georgia Tech estiman que la cifra real podría ser de 5 a 10 veces mayor). Gartner proyecta que para fines de 2026 el 60% del código nuevo será generado por IA. Cuando la mayoría del código que se escribe viene de un modelo y la revisión de seguridad sigue siendo manual y opcional, la brecha solo va a crecer.
Lo que esto significa para agencias, developers y tu producto
Si en Geek Vibes o en cualquier agencia construimos — o recomendamos — herramientas de vibe coding para clientes, este caso es la lección concreta, no la anécdota:
- La seguridad por default no existe todavía en estas plataformas. Row Level Security, reglas de acceso y validación de permisos siguen siendo trabajo humano, aunque la UI no te lo pida. Antes de entregar cualquier app construida con IA a un cliente, alguien del equipo tiene que auditar explícitamente los permisos de base de datos — nunca asumir que "ya viene configurado" solo porque la app funciona.
- "No-code" no significa "sin responsabilidad". Los términos de servicio de estas plataformas suelen poner la responsabilidad del manejo de datos en el usuario final, aunque el marketing venda lo contrario. Si tu cliente va a manejar datos sensibles (identidad, pagos, salud), ese reparto de responsabilidad debe quedar explícito desde el kickoff del proyecto, no descubrirse después de un incidente.
- Un checklist de 15 minutos evita el problema completo. Verificar que RLS esté activo en cada tabla de Supabase, correr una petición sin autenticación contra los endpoints públicos de la app, y revisar literalmente qué le devuelve el navegador a alguien sin sesión iniciada son pasos rápidos que cualquier equipo puede agregar a su proceso de QA antes de lanzar — y que la mayoría todavía no hace.
Lo que vemos en Geek Vibes es que la conversación sobre IA generativa en producto todavía está enfocada casi por completo en velocidad de entrega, y casi nada en la capa de seguridad que esa velocidad deja atrás. Ese desbalance es exactamente lo que le pasó a Lovable tres veces en un año — y le puede pasar a cualquier agencia que trate la seguridad como un detalle de "después lo revisamos".
Si estás construyendo producto con IA y quieres una segunda opinión sobre qué tan expuesta está tu base de datos antes de lanzar, escríbenos a hello@geekvibes.agency — lo revisamos con calma, antes de que lo encuentre alguien más.
