> 伴随全球顶尖技术人才争夺的白热化，ChatGPT开发商正式宣布将在伦敦设立美国本土外最大规模的研究基地。此举不仅标志着其全球化战略向纵深推进，更是对英国前沿科技生态的重磅加码。

## 顶尖人才与政策红利构筑理想土壤
选择伦敦作为海外扩张的核心节点，背后是深思熟虑的战略考量。依托剑桥与牛津等顶级学府的长期学术积淀，该地区积聚了全球密度极高的计算机科学与深度学习专家。同时，当地政府大力推行的创新扶持战略与灵活的监管框架，为前沿算法的迭代提供了得天独厚的外部环境，成功将其转化为吸引头部大模型企业的磁石。

![Gemini_Generated_Image_p2fit9p2fit9p2fi.png](https://static.downly.cn/images/64f45809c63145945fca6b2f513b65af.png) <center>图源备注：图片由AI生成</center>

## 剑指前沿架构 全球研发布局再落重锤
全新的海外研究中心不仅承载着办公扩张的职能，更将直接接手核心算法与新一代网络架构的底层攻坚任务。在各国竞相角逐算力与技术制高点的大背景下，这次研发布局的下沉，将进一步放大头部企业在欧洲市场的虹吸效应，同时帮助当地在激烈的全球创新中心角逐中赢下关键一局。

OpenAI落子伦敦 打造海外最大研发中心抢占欧洲高地

> 科技巨头在AI领域的竞赛持续升温，谷歌接连推出文件检测与搜索工具，Hume AI在语音克隆技术上取得新突破，科大讯飞则发布了支持多语言的深度推理大模型。与此同时，Meta将AI短视频推向欧洲市场，而OpenAI与AWS的巨额合作则预示着AI基础设施建设进入新阶段。

## 谷歌AI文件识别利器Magika 1.0发布，核心引擎全面升级

谷歌近日正式发布了其AI文件检测工具Magika的1.0版本，并宣布该项目的核心引擎已完全采用Rust语言重写。这一重大升级显著提升了工具的处理速度和内存安全性，使其在性能与安全方面实现了质的飞跃。Magika自去年开源以来，凭借其高效精准的文件类型识别能力，月均下载量已超百万次，新版本的发布将进一步巩固其在开发者社区中的地位。

![image.png](https://static.downly.cn/images/78e3181dc2000205f943ee9ce46d160a.png)
图源备注：图片由AI生成

## 私有数据检索新纪元，谷歌Gemini API推出文件搜索工具

为了简化开发者的私有数据集成流程，谷歌推出了一款名为“文件搜索工具”的全新Gemini API功能。该工具是一个全托管的RAG（检索增强生成）系统，允许用户直接上传私有文件，系统会自动完成索引和检索的全部流程。这意味着开发者无需再自行搭建和维护复杂的向量数据库，即可轻松将私有文件转化为可供AI模型查询的知识库，极大地降低了技术门槛。

![image.png](https://static.downly.cn/images/f6fda800041e315c16b12c84bef7bd0d.png)
图源备注：图片由AI生成

## 一次录音复刻灵魂之声，Hume AI语音转换功能惊艳上线

Hume AI公司推出的“语音转换”功能为个性化语音合成带来了革命性突破。用户仅需提供一次录音，系统便能精准捕捉并复刻原声的独特节奏、发音习惯和语调，并将其无缝移植到目标声音上。这项技术标志着语音AI正从过去机械的文本朗读，向能够传递真实情感与个性的新阶段迈进。该功能现已登陆其创作工作室和API平台，为内容创作、虚拟助手等领域开启了无限的创意空间。

![image.png](https://static.downly.cn/images/2664fa7735f97016c3b119b3518f9486.png)
图源备注：图片由AI生成

## Meta AI短视频“Vibes”登陆欧洲，是内容创新还是“AI泔水”引热议

Meta旗下的全AI生成短视频产品“Vibes”正式进军欧洲市场，并已集成至Meta AI应用中。用户可以通过简单的文字提示，或对他人作品进行“Remix”再创作，即可由AI生成独特的短视频内容。尽管Meta旨在通过此举构建一个社交化、协作式的AI创作生态，但完全由AI生成的内容质量和其对内容生态的潜在影响，也引发了部分用户关于其是“AI版TikTok”还是“AI泔水”的激烈讨论。

![image.png](https://static.downly.cn/images/ab264c8a7bc6cefc92426576babdad67.png)
图源备注：图片由AI生成

## 科大讯飞发布讯飞星火X1.5，深度推理能力再进化

在国内的世界声博会上，科大讯飞发布了其最新的深度推理大模型“讯飞星火X1.5”以及一系列相关AI产品。该模型在国内算力平台上完成了高效训练，其强大的多语言处理能力是本次升级的一大亮点，现已支持多达130种语言。科大讯飞强调，此次发布旨在通过先进的AI技术赋能各行各业，解决实际问题，彰显了其在人工智能领域的深厚技术积累和持续创新能力。

![image.png](https://static.downly.cn/images/0e046db589c524ce11c1db4cfa34b894.png)
图源备注：图片由AI生成

## 380亿美元豪赌，OpenAI与AWS联手构建AI基础设施新格局

OpenAI与亚马逊云服务（AWS）达成了一项为期七年、总额高达380亿美元的重磅合作协议。根据协议，OpenAI将获得数十万台英伟达GPU的计算资源，并将其托管于亚马逊遍布全球的数据中心。这次合作远超传统的云服务租赁模式，旨在为OpenAI构建更强大、更稳固的AI基础设施，以支持其未来更大规模模型的研发和训练，此举将对全球AI技术的发展格局产生深远影响。

![image.png](https://static.downly.cn/images/a84bc99a4fec836bab456f672c1b65ad.png)
图源备注：图片由AI生成

每日AI资讯1108：谷歌连发AI工具，OpenAI与Meta等巨头竞相布局

> 导语：本期AI资讯聚焦全球技术突破：UniWorld-V2在中文图像编辑领域取得领先，亚马逊Kindle推出AI翻译服务，Meta的AI短视频平台Vibes扩展至欧洲，同时，全球首个AI海洋大模型“瞰海”问世。此外，微软启动人本主义AI项目，月之暗面发布Kimi K2 Thinking模型，展现了AI在应用和理论层面的双重跃进。

---

## UniWorld-V2发布 中文图像编辑的新篇章

UniWorld-V2中文图像编辑模型正式发布，它带来了两大核心功能 框选即改与中文字体精准渲染。该模型在性能上已超越了GPT-Image和Gemini等知名模型，为中文世界的图像处理提供了更强大 更精准的工具。


![image.png](https://static.downly.cn/images/537aaf2145ab18b49d5ff2d374fc9c4e.png)
图源备注：图片由AI生成
 

## 劳德研究所“弹弓”计划启动 赋能AI科研创新

劳德研究所发起了名为“弹弓”的AI资助计划，旨在通过提供资金 算力及工程支持，为AI科研注入新动力。首批入选的15个项目团队将致力于推动研究成果的商业化或开源，以促进AI技术的广泛应用与发展。

## 亚马逊Kindle推出AI翻译 助力独立作者走向世界

亚马逊在其Kindle Direct Publishing（KDP）平台上线了免费的AI翻译服务 Kindle Translate。该服务初期支持英语 西班牙语和德语间的互译，旨在显著降低独立作者的翻译成本，帮助他们的作品快速触达全球读者，拓展国际市场。

![image.png](https://static.downly.cn/images/e79acb70e19e73eff0814f756c4dcb25.png)
图源备注：图片由AI生成
 

## Meta AI短视频Vibes登陆欧洲 AI视频领域竞争升温

Meta正式在欧洲市场推出其AI短视频平台Vibes，平台上的所有内容均由AI生成，功能上与TikTok相似。这是Vibes在美国市场取得成功后的又一重要扩张。此举也预示着，在OpenAI发布Sora等模型后，AI视频生成领域的竞争正变得日益激烈。

## 全球首个AI海洋大模型“瞰海”发布 精准预测未来海况

中国发布了全球首个端到端的AI海洋大模型“瞰海”。该模型能够实现从卫星观测到三维预测的全链路闭环，不仅可以实时重构海洋状况，还能精准预演未来10天的海洋环境变化，为海洋科研与防灾减灾工作提供了强大的“数字海洋镜像”。

![image.png](https://static.downly.cn/images/f5fec5921fe5ba0cd240cc5ba2b16483.png)
图源备注：图片由AI生成
 

## 微软启动新AI项目 聚焦“人本主义超级智能”

微软AI负责人苏莱曼将领导一个全新的团队，专注于开发“人本主义超级智能”AI。该项目旨在通过设定严格的技术界限和监管措施，确保AI技术的发展始终以服务人类为核心，由人类主导，避免其走向完全自主或取代人类的道路。

## 月之暗面开源Kimi K2 Thinking模型 提升AI自主思考能力

月之暗面宣布开源其最新的Kimi K2 Thinking模型。该模型极大地增强了AI智能代理的自主思考和工具使用能力，能够连续调用工具多达300轮并进行深度推理，且全过程无需用户干预，从而更高效地完成各类复杂任务。

![image.png](https://static.downly.cn/images/6ba46855b20d21ef4eb0adeb96d24cf0.png)
图源备注：图片由AI生成
 

## Paytm携手Groq 优化AI驱动的金融服务

印度支付巨头Paytm与美国硬件公司Groq达成合作。通过使用GroqCloud云端服务及其领先的AI推理优化技术，Paytm旨在显著提升其平台在交易处理 风险评估 欺诈检测及用户互动等方面的智能化水平，以应对不断增长的支付需求和金融安全挑战。

## MiniMax M2模型揭秘 为何坚持全注意力机制

MiniMax M2模型的技术选择引发关注，其团队揭示了采用全注意力机制的原因。尽管存在更节省资源的线性或稀疏注意力技术，但MiniMax认为全注意力机制在工业级应用中能带来更高的效率和性能，从而优化模型的实际部署效果，推动AI技术向前发展。

每日AI资讯1107：全球AI技术多点开花，从海洋预测到中文图像编辑，创新浪潮席卷而来

# AI资讯周报：国产模型突破极限，AI浏览器开启新一轮入口争夺战

> AI界风起云涌，从国产多智能体系统在“人类最后考试”中取得历史性突破，到开源模型在跨模态推理上比肩人类专家，技术竞赛持续升温。与此同时，AI应用正加速渗透，OpenAI与Perplexity纷纷布局AI浏览器，意图抢占下一代互联网入口；行业巨头则通过巨额融资和开源新工具，积极构筑未来生态壁垒。

## 国产AI再创佳绩 X-Masters攻克“人类最后考试”

上海交通大学与深势科技团队合作开发的X-Masters多智能体工作流系统，在极具挑战性的“人类最后的考试”（AIBench-Eval）中取得了32.1分的成绩，首次突破30分大关。该系统通过模拟人类研究者的动态解题过程，并利用创新的“分散-堆叠式”智能体工作流，显著提升了AI在生物、医学等复杂领域的推理与解决问题的能力，标志着通用人工智能发展的重要一步。

![image.png](https://static.downly.cn/images/d803d07940df547259207170e2ce319e.png)

## 昆仑万维Skywork-R1V 3.0发布 跨模态能力媲美人类专家

昆仑万维最新推出的开源模型Skywork-R1V 3.0，在多模态推理能力上实现了巨大飞跃，其表现可与初级人类专家相媲美。该模型通过高质量的蒸馏数据与强化学习进行训练，在MMMU、物理、逻辑和数学等多个权威评测中，其性能超越了包括Claude-3.7-Sonnet和GPT-4.5在内的顶尖闭源模型，展示了强大的跨模态理解与推理实力。

![image.png](https://static.downly.cn/images/4ca7ea45f38d5b159a181ea2bdb97ad1.png)

## 法国AI新星Mistral寻求10亿美元融资 剑指欧洲AI霸主

法国AI初创公司Mistral正在寻求高达10亿美元的股权融资及数亿欧元的债务融资，以巩固其在欧洲市场的领导地位。此轮融资将用于加速其前沿模型的研发与市场拓展。同时，Mistral计划与MGX及英伟达合作，共同建设欧洲最大的AI数据中心园区，旨在提升欧洲AI产业的基础设施水平，确保其在全球AI竞赛中的战略主权。

![image.png](https://static.downly.cn/images/806e680175b9bed4f1fcf8948789a80b.png)

## Hugging Face推出3B参数小模型SmolLM3 高效AI新选择

Hugging Face最新发布了仅有3B参数的开源语言模型SmolLM3。尽管模型小巧，但其性能卓越，在多项基准测试中超越了同级别甚至4B参数的模型。SmolLM3支持双模式推理、长达128K的上下文窗口，并覆盖六种语言，专为边缘计算设备优化，为开发者和企业提供了一个高性价比的AI解决方案。

![image.png](https://static.downly.cn/images/ed639120f5ffdef16b1bfe4253ffd84b.png)

## Vidu Q1功能震撼升级 AI视频生成迈入多参考图时代
<video src="https://static.downly.cn/images/779d5a1303e08f57f65df80145429cda.mp4" title="30948198649-1-16.mp4"></video>
生数科技旗下的视频生成模型Vidu Q1迎来重大更新，推出“参考转视频”功能。新功能允许用户上传最多七张参考图像，并结合文本提示，生成视觉风格高度一致的1080p高清视频。这一突破有效解决了多场景和多主体连贯性的行业难题，极大地提升了内容创作者在复杂叙事和细节呈现上的创作自由度。

![image.png](https://static.downly.cn/images/565461c3ed685e8d8e89fd04aa40dfaa.png)

## NovelAI开放经典动漫模型权重 仅限非商业研究

知名AI内容创作平台NovelAI宣布，即将开放其已停用的Stable Diffusion 1.5动漫模型权重。该模型被命名为NovelAI Diffusion V2，虽然是旧版本，但其在动漫风格生成上仍有很高的参考价值。此次开放主要面向研究人员和爱好者，并规定仅可用于非商业目的。

![image.png](https://static.downly.cn/images/a83a9d01bdf573f1648822e039478611.png)

## AI开发者新宠 Hugging Face开源桌面机器人Reachy Mini

Hugging Face与Pollen Robotics合作，推出了一款面向AI开发者的开源桌面人形机器人Reachy Mini。这款机器人是进行人机交互、编程学习和AI实验的理想工具。它提供了299美元的Lite版和449美元的Wireless版，尽管功能仅限于旋转和头部移动，其在预售阶段仍获得了超过13万欧元的资金支持，显示出开发者社区的巨大热情。

![image.png](https://static.downly.cn/images/5cfa29b44dfc14f44bbc061c50db8c1c.png)

## 谷歌开源MCP数据库工具箱 赋能AI Agent数据操作能力

为了增强AI Agent的数据处理能力，谷歌最新开源了名为MCP Toolbox for Databases的工具集。该工具箱旨在帮助AI Agent轻松连接并操作各类数据库，它支持广泛的数据库类型和客户端接入方式，极大地扩展了AI在数据管理和分析领域的应用潜力，让AI能更深入地参与到企业的数据工作流中。

![image.png](https://static.downly.cn/images/a02429e55ac6b33d5ec1801feaf99832.png)

## AI浏览器争霸战打响 OpenAI与Perplexity入局

AI搜索领域的竞争正从聊天框延伸至浏览器本身。据报道，OpenAI计划在未来几周内发布一款AI浏览器，旨在通过深度集成AI功能重塑用户的网页浏览体验，将部分交互保留在ChatGPT生态内。与此同时，其竞争对手Perplexity也已正式推出AI驱动的网页浏览器Comet，初期面向月费200美元的Max计划订阅用户开放，意图通过提供更智能、更高效的信息获取方式，抢占下一代流量入口。

![image.png](https://static.downly.cn/images/9389050cfda508026cbea75d1f5cbde9.png)

## YouTube加强内容审核 打击AI生成的低质视频

随着AI生成内容的普及，对“AI垃圾内容”的担忧日益加剧。为此，YouTube正准备更新其平台政策，以打击那些“批量生产”和“重复性高”的视频。YouTube的创作者联络人表示，这次调整是现有政策的延续和强化，旨在维护平台内容的质量和原创性，确保观众获得有价值的观看体验。

![image.png](https://static.downly.cn/images/367f9f2f36a0fbf8bd2713f737883aac.png)

AI每日资讯0710

> 近日，一位来自 Replit 团队（知名AI 编程公司，Lovable友商）的员工报告，Lovable平台存在严重的行级安全(`Row Level Security, RLS`)策略实现缺陷，导致未经授权的用户可以访问敏感数据并注入恶意内容。此外，平台的默认公开项目设置和remix功能进一步加剧了数据泄露风险。本文将详细阐述了漏洞的技术细节、影响范围、披露过程、各方回应以及安全建议，旨在提高开发者和用户对此类平台安全风险的认识。

Lovable是一家瑞典初创企业，其产品被定位为"软件体系的最后一块拼图"，通过AI技术极大降低开发门槛，使客户无需技术培训即可使用自然语言提示词创建网站及应用程序。作为"氛围编码"（vibe coding）领域的代表，Lovable在欧洲市场快速增长，被称为"欧洲版Cursor"。

## 1. 漏洞概述

2025年3月20日，Replit公司员工Matt Palmer及其同事发现Lovable平台存在严重安全漏洞（CVE-2025-48757），该漏洞涉及行级安全(RLS)策略实现不当，允许未授权用户访问敏感数据并注入恶意内容。此外，Lovable平台非Pro用户创建的项目默认为公开状态，结合其remix功能，进一步增加了数据泄露风险。

![](https://static.downly.cn/images/image-20250603091520914-1748913389378-1.png)

**CVE-2025-48757详情：**

![](https://static.downly.cn/images/image-20250603090338879.png)

## 2. CVE-2025-48757漏洞技术分析

### 2.1 漏洞本质

CVE-2025-48757漏洞的核心是Lovable平台在实现行级安全(RLS)策略时存在严重缺陷：

1.RLS配置缺失或错误：Lovable平台创建的应用程序常缺乏安全的RLS配置，导致数据库表缺少必要的访问控制。

2.客户端与后端安全策略不一致：客户端逻辑与后端权限控制(RLS)策略存在错位，前端实现的访问控制在后端没有得到有效执行。

3.身份验证绕过：攻击者可通过移除授权头部，将请求安全上下文从已认证用户变为未认证用户，从而绕过访问控制。

### 2.2 漏洞利用方式

在Lovable，只有Pro用户才能创建private项目，任何人都可以查看并使用remix的方式克隆他人的项目，这是一个非常重要的前提。

![](https://static.downly.cn/images/image-20250603084746944.png)

#### 2.2.1 数据访问漏洞

攻击者可以通过修改查询参数访问项目"用户"表中的所有数据。例如，在Linkable网站（一个由Lovable构建的将LinkedIn资料转化为个人网站的应用）中，Palmer能够查看约500名用户的电子邮件地址。

#### 2.2.2 数据修改漏洞

攻击者可以通过发送带有精心构造的有效载荷的POST请求插入新记录。在Linkable网站的案例中，研究人员成功通过设置"payment_status": "paid"绕过了Stripe支付集成，实现了未授权的数据写入。

### 2.3 技术架构问题

Lovable 为用户提供了一种简单的方法来连接到Supabase 的数据库服务，但存在配置不当问题。

![](https://static.downly.cn/images/image-20250603085004055.png)

Lovable平台的安全漏洞与其技术架构密切相关：

1.客户端驱动架构：Lovable应用主要以客户端驱动为主，将大量逻辑放在前端执行。

2.外部服务依赖：依赖外部服务(如Supabase)完成身份验证和数据存储等后端操作，增加了配置复杂性。

3.安全责任转移：将安全责任转移给应用程序的开发者，而非平台本身，但缺乏足够的安全指导和默认保护。

### 2.4 "安全扫描"功能的局限性

Lovable在4月24日推出的"安全扫描"功能存在严重局限：

1.该功能仅检查Supabase数据库是否启用了访问控制，而不检查控制选项是否正确配置。

2.提供虚假的安全感，无法检测到暴露数据的错误配置。

3.未解决底层RLS架构缺陷，即使在扫描后，应用仍可能存在漏洞。

## 3. 漏洞影响范围

### 3.1 受影响应用数量

在扫描的1,645个Lovable创建的应用中，约170个(10.3%)存在漏洞，涉及303个端点存在不充分的RLS设置。这表明RLS配置错误是一个系统性问题，而非孤立事件。

### 3.2 暴露数据类型

通过漏洞可能泄露的敏感数据包括：

•用户个人信息(姓名、电子邮件地址)

•财务信息

•API密钥(包括Google Maps、Gemini API、eBay等服务)

•个人债务金额

•家庭住址

•"擦边提示词"

### 3.3 潜在攻击场景

1.数据窃取：攻击者可获取用户个人信息和凭证，用于身份盗窃或定向攻击。

2.API滥用：获取的API密钥可被用于未授权访问第三方服务，可能导致财务损失。

3.数据篡改：攻击者可修改数据库内容，包括支付状态、用户权限等。

4.服务中断：通过删除或破坏数据，可能导致服务不可用。

## 4. 漏洞披露过程

### 4.1 时间线

1.2025年3月20日：初次发现Linkable网站(Lovable构建)的漏洞。

2.2025年3月21日：识别出更广泛的RLS配置错误问题，并通过电子邮件通知Lovable。

3.2025年3月24日：Lovable确认收到邮件，但未回复。

4.2025年4月14日：

•Palantir工程师Danial Asaria独立发现并公开发推文谈论同一漏洞。

•Palmer再次通知Lovable，引用公开利用情况，并启动45天披露窗口期。

5.2025年4月24日：Lovable发布"Lovable 2.0"，增加"安全扫描"功能，但未解决底层RLS架构缺陷。

6.2025年5月24日：Palmer对Linkable网站进行再次评估，发现仍存在数据操纵和注入等严重安全问题。

7.2025年5月29日：由于Lovable未采取有效修复措施或通知用户，Palmer发布CVE编号。

### 4.2 Lovable的回应与措施

1.初次回应：否认存在漏洞，随后删除相关推文和网站。

2.临时措施：Linkable重新上线并开始收取2美元费用。

3.安全功能：推出"安全扫描"功能，但仅检查Supabase数据库是否启用了访问控制，未检查配置是否正确。

4.公开声明(5月30日)："与几个月前相比，Lovable现在在构建安全应用方面有了显著提升，并且还在快速改进。话虽如此，我们的安全水平尚未达到预期，我们将致力于持续提升所有Lovable用户的安全状况。"

## 5. 默认公开项目与Remix功能的安全风险

### 5.1 默认公开项目机制

根据Lovable官方隐私政策和用户补充信息，非Pro用户创建的项目默认为公开状态：

"如果您的项目设置为'公开'，那么提示和代码可以被其他用户看到。您的公开项目也可以被remix并用作其他项目的起点。私有项目不可被remix，其代码和提示对其他用户不可见。" —— Lovable隐私政策，"用户内容可见性"部分

这一默认设置意味着：

1.非Pro用户的项目代码、提示词和配置默认对所有人可见。

2.用户需要主动将项目设置为私有，但这通常需要升级到付费计划。

3.许多用户可能不知道自己的项目是公开的，尤其是缺乏技术背景的新手。

### 5.2 Remix功能及其风险

Lovable的Remix功能允许用户克隆并修改其他公开项目：

1.配置复制：Remix会复制原项目的代码、结构和配置，包括可能存在的不安全设置。

2.凭证泄露：如果原项目包含硬编码的API密钥、数据库连接字符串或其他凭证，这些也会被复制到新项目中。

3.权限继承：新项目可能继承原项目的不安全权限设置，导致相同的漏洞在多个项目中传播。

### 5.3 组合风险分析

默认公开项目与Remix功能相结合，形成了严重的安全风险链：

1.漏洞传播：一个存在RLS配置错误的公开项目可能被多次remix，导致漏洞在生态系统中快速传播。

2.凭证暴露链：一个包含API密钥的公开项目被remix后，这些凭证可能被更多人看到并滥用。

3.安全意识差距：缺乏安全知识的用户可能不了解公开项目和remix带来的风险，无意中暴露敏感信息。

4.难以追踪：当漏洞通过remix传播时，很难追踪源头并通知所有受影响用户。

## 6. 安全专家观点

### 6.1 SentinelOne首席信息安全官Alex Stamos

•Web应用程序最佳实践要求完全避免让用户直接访问数据库。

•应用程序应当确定用户可以访问哪些信息，再据此执行数据交付。

•允许用户直接接入数据库存在巨大风险，即使有正确处理方法，成功率也极低。

### 6.2 Replit公司CEO Amjad Masad

•不能期望新手开发者理解并掌握底层安全配置。

•如果一款工具号称能轻松部署应用程序，就必须确保这些应用程序的安全性。

•氛围编码工具应该提供安全默认设置，而不是将安全责任完全转嫁给用户。

## 7. 安全建议

### 7.1 对Lovable平台的建议

1.实施安全默认设置：所有项目默认应为私有，只有在用户明确选择后才设为公开。

2.改进RLS实现：提供预配置的安全模板和自动化工具，确保正确实施RLS策略。

3.增强安全扫描：扩展当前的安全扫描功能，不仅检查RLS是否启用，还应验证其配置是否正确。

4.用户通知机制：建立机制通知用户潜在的安全问题，特别是当他们的项目包含敏感数据时。

5.沙箱环境：为氛围编码应用提供沙箱环境，限制可能造成的损害。

### 7.2 对Lovable用户的建议

1.项目可见性审查：检查所有项目的可见性设置，确保包含敏感信息的项目设为私有。

2.避免存储敏感数据：不要在Lovable项目中存储API密钥、凭证或个人敏感信息。

3.定期安全审查：定期检查项目的安全设置，特别是在更新后。

4.使用环境变量：对于需要API密钥的项目，使用环境变量而非硬编码。

5.限制数据访问：实施最小权限原则，限制应用对数据的访问范围。

### 7.3 对氛围编码行业的建议

1.建立安全标准：制定氛围编码平台的安全最佳实践和标准。

2.责任明确化：明确平台提供商和用户在安全方面的责任边界。

3.安全教育：提供针对非技术用户的安全意识培训和资源。

4.防御深度：实施多层次安全控制，不仅依赖单一防护措施。

5.透明度：平台应公开其安全措施和限制，帮助用户做出明智决策。

## 8. 结论

Lovable平台的CVE-2025-48757漏洞以及默认公开项目与remix功能带来的额外风险，凸显了氛围编码工具在安全实践方面的重大挑战。虽然这些工具极大地降低了软件开发的门槛，但同时也带来了新的安全风险，特别是当用户缺乏安全知识时。

平台提供商需要认识到，随着开发工具的民主化，安全责任不应完全转嫁给用户。相反，应该提供安全默认设置、自动化安全检查和清晰的风险通知。同时，用户也应提高安全意识，了解这些平台的限制和潜在风险。

随着氛围编码和AI辅助开发工具的持续发展，行业需要建立新的安全范式，在保持易用性的同时确保应用安全。只有通过平台提供商、用户和安全社区的共同努力，才能实现这一平衡。

## 参考资料

1.Matt Palmer. (2025). Statement on CVE-2025-48757. https://mattpalmer.io/posts/statement-on-CVE-2025-48757/

2.Semafor. (2025). The hottest new vibe coding startup may be a sitting duck for hackers. https://www.semafor.com/article/05/29/2025/the-hottest-new-vibe-coding-startup-lovable-is-a-sitting-duck-for-hackers

4.Matt Palmer. (2025). Twitter/X Post on Lovable Vulnerability. https://x.com/mattppal/status/1928106325613105370

5.Lovable. (2024). Privacy Policy. https://lovable.dev/privacy

6.Bay Tech Consulting. (2025). An Analysis of Loveable AI: Features, Pricing, Value, and Market Position 2025. https://www.baytechconsulting.com/blog/an-analysis-of-loveable-ai-features-pricing-value-and-market-position-2025





搜索结果: 欧洲市场