AI를 활용해 코딩 지식 없이도 웹 애플리케이션을 만들 수 있는 스웨덴 스타트업 러바블(Lovable)의 프로젝트 상당수에서 보안 허점이 드러났다. 연구 기관 크리시필드(Crissyfield)가 2026년 11월 공개한 분석 결과에 따르면, 조사 대상인 159,041개의 러바블 프로젝트 중 많은 경우 로그인 절차 없이도 개인정보와 기밀 데이터에 접근할 수 있었다.
러바블은 2023년 안톤 오시카와 파비안 헤딘이 스톡홀름에서 설립한 기업이다. 자연어 설명만으로 정적 웹사이트부터 사용자 관리 및 데이터베이스 연결이 포함된 복잡한 애플리케이션까지 생성해 내는 것이 특징이다. 하지만 이번 조사에서는 이러한 편의성 이면에 심각한 보안 리스크가 존재함이 확인됐다.
특히 주목할 점은 여권 상세 정보와 20만 건이 넘는 개인 메시지들이 인터넷 접속자라면 누구나 열람할 수 있는 상태였다는 것이다. 이는 고도의 해킹 기술이나 제로데이 취약점 공격이 아닌, 단순한 네트워크 요청 검사나 기본 인증 부재로 인해 발생한 문제다. 데이터베이스가 잠금장치 없이 개방된 것과 유사한 상황으로 평가된다.
러바블의 이용약관은 애플리케이션과 데이터 처리에 대한 책임을 최종 사용자에게 부과하고 있다. 그러나 마케팅 측면에서는 기술 지식이 필요 없다는 점을 강조하며 플랫폼이 보안까지 책임지는 듯한 인상을 줄 수 있다는 비판이 제기된다. 실제로 해당 보고서는 하인델 블라트(Handelsblatt)와의 협업을 통해 작성되었으며, 2026년 11월 2일 관련 내용이 보도되었다.
이번 사건은 AI 도구가 비전문가의 앱 개발 장벽을 낮추면서 동시에 보안 의식 부족으로 인한 위험을 확대할 수 있음을 보여준다. 전문가들은 이러한 기본적 보안 실패에 대해 강력한 법적 책임 추궁이 필요하다고 지적한다. 현재로서는 추가적인 피해 규모나 구체적인 대응 방안보다는, 기존 프로젝트들의 보안 설정 점검이 시급한 과제로 남아 있다.