AI-builders als Lovable, Bolt en Replit maken bouwen makkelijk: een idee wordt in een middag een werkende app. Maar werkt hij ook veilig? Twee recente onderzoeken geven een eerlijk antwoord.
200 live apps, 91% met een lek
Onderzoekers testten in 2026 200 apps die met Claude Code en Lovable waren gebouwd en al live stonden. Bij 91% vonden ze minstens één kwetsbaarheid, en twee derde van die kwetsbaarheden was kritiek of hoog. Dat staat in het onderzoek van Deng, Fan en Meng (2026).
De meeste fouten zaten niet in ingewikkelde aanvallen, maar in de basis: wie wat mag zien, inloggen, en invoer die de app zonder controle doorgeeft aan de database.
In 45% van de tests zat een fout
Een ander onderzoek keek naar de code zelf. Veracode liet meer dan honderd taalmodellen code schrijven en testte die op bekende beveiligingsfouten. In 45% van de tests zat er een in. Zie het GenAI Code Security Report van Veracode (2025).
Waarom AI dit mist
Een AI bouwt wat je vraagt: een pagina met klantgegevens, een betaalknop, een inlog. Dat die pagina alleen de eigen gegevens mag tonen, zeg je er vaak niet bij. En wat je niet vraagt, bouwt de AI niet altijd uit zichzelf.
Zulke fouten zie je niet als je de app zelf gebruikt, want jij ziet alleen je eigen gegevens. Ze vallen pas op als iemand probeert wat niet de bedoeling is.
Wat je ermee kunt
- Ga ervan uit dat je app werkt, maar nog niet is nagekeken.
- Loop de basis zelf na, bijvoorbeeld met vijf dingen die je zelf kunt controleren.
- Laat een mens kijken naar wie wat mag zien voordat je klanten of betalingen hebt.