يصف تقرير نُشر على DEV Community "خرقًا أمنيًا بقيمة 0 دولار" حيث سرّبت 24,664 تطبيقًا مبنيًا بالذكاء الاصطناعي allegedly أكثر من 80,000 سجل مستخدم، بما في ذلك أرقام جوازات السفر، عبر قواعد بيانات Supabase. تُعدّ حادثة تسريب البيانات هذه في تطبيقات مبنية بالذكاء الاصطناعي عبر Supabase تذكيرًا مفيدًا بأن سرعة التطوير وسلامة بيانات المستخدمين ليسا الشيء نفسه.

ملاحظة حول المصادر: تقتصر المادة المصدرية المتاحة لنا على عنوان التقرير وملخص قصير. ولا تخبرنا من حدد التعرض، أو كيف تم العثور على التطبيقات، أو أي التطبيقات المحددة تأثرت. يلتزم هذا المقال بما يذكره التقرير ويصنّف بوضوح أي خلفية عامة على هذا النحو.

كيف كشفت قواعد البيانات سيئة الإعداد سجلات المستخدمين

وفقًا لعنوان التقرير، جاءت السجلات المكشوفة من تطبيقات بُنيت بأدوات ذكاء اصطناعي استخدمت Supabase كخادم خلفي لها. كما يصوغ العنوان الحادثة على أنها لم تكلّف شيئًا لتنفيذها، مما يشير إلى عدم وجود اختراق متطور. ولا يفصّل المصدر الآلية.

كخلفية عامة (ليست مستمدة من التقرير): Supabase هي خدمة قواعد بيانات مستضافة، ويُتحكم عادةً في الوصول إلى بياناتها عبر قواعد يحددها من يبني التطبيق، مثل أمان مستوى الصف. وإذا كانت هذه القواعد غائبة أو متساهلة أكثر من اللازم، فقد تكون البيانات قابلة للقراءة من قبل أشخاص لا ينبغي لهم رؤيتها. وهذه مشكلة إعدادات وليست ثغرة تتطلب اقتحامًا.

لماذا يخلق "البرمجة بالانطباع" هذه الفجوة الأمنية

يشير مصطلح "البرمجة بالانطباع" (vibe coding) إلى بناء البرمجيات عبر وصف ما تريده لأداة ذكاء اصطناعي وقبول الكود المولّد مع مراجعة يدوية قليلة. ويمكنها تحويل فكرة إلى تطبيق يعمل في غضون ساعات. والمقايضة هي أن إعدادات الأمان يسهل إغفالها عندما يبدو التطبيق وكأنه يعمل.

يمكن أن يبدو التطبيق ويتصرف بشكل مثالي بينما يكون خادمه الخلفي مفتوحًا لأي شخص يعرف أين ينظر. ولا شيء على الشاشة يخبر المستخدم، أو غالبًا من يبني التطبيق، بأن هناك خطأ ما. ولهذا فإن الواجهة المصقولة مؤشر ضعيف على مدى حرص حماية البيانات.

ويندرج هذا أيضًا ضمن نمط أوسع لتغيير أدوات الذكاء الاصطناعي لمشهد المخاطر. فتغطيتنا لكيفية نشر عصابة Aurora لبرامج الفدية لوكيل برمجة بالذكاء الاصطناعي في الهجمات وكيف تستخدم Qilin أدوات الذكاء الاصطناعي مع ارتفاع هجمات الفدية في اليابان تُظهر أن الذكاء الاصطناعي يسرّع العمل أيضًا على جانب المهاجمين.

ما البيانات التي تعرضت للكشف ومن المعرض للخطر

يقول التقرير إن السجلات المكشوفة يزيد عددها عن 80,000 وتشمل أرقام جوازات السفر. وتُعدّ تفاصيل جواز السفر من أكثر المعرّفات حساسية التي يمكن للشخص مشاركتها، لأنها يصعب استبدالها ويمكن أن تدعم الاحتيال في الهوية عند دمجها مع اسم أو بريد إلكتروني أو تاريخ ميلاد.

ولا يحدد المصدر الحقول الأخرى التي كُشفت أو البلدان التي يوجد فيها المستخدمون المتأثرون. وأي شخص سجّل في تطبيق أحدث ورفع وثائق هوية أو تفاصيل شخصية هو potentially ضمن المجموعة التي تستحق الانتباه، خاصة إذا كان التطبيق من مطوّر صغير أو غير معروف.

ماذا يعني هذا بالنسبة لك

عادةً لا يمكنك رؤية كيف يحمي التطبيق قاعدة بياناته، لذا فإن الدفاع العملي هو التحكم في ما تسلّمه.

  • تساءل عن الحاجة. إذا طلب منك تطبيق رقم جواز سفر أو مسحًا لبطاقة هوية، فاسأل عما إذا كانت الخدمة تتطلبه حقًا.
  • تحقق من المطور. ابحث عن شركة مسماة، وسياسة خصوصية، وطريقة للتواصل مع الدعم. وكن حذرًا مع التطبيقات الجديدة تمامًا التي لا تحتوي على أي من هذه.
  • استخدم بيانات اعتماد فريدة. كلمة مرور منفصلة واسم بريد إلكتروني مستعار لكل خدمة جديدة يحدّان من الضرر إذا انكشفت مجموعة سجلات واحدة.
  • تجاوز الحقول الاختيارية. اترك أرقام الهواتف والعناوين وعمليات رفع الوثائق ما لم تكن مطلوبة.
  • احترس من عمليات الاحتيال اللاحقة. غالبًا ما يُعاد استخدام السجلات المكشوفة في التصيد والاحتيال، كما رأينا عندما أُضيفت سجلات مستخدمي Paidwork إلى HIBP.

كيفية تقييم التطبيقات وتحديد ما تشاركه

قبل إنشاء حساب في تطبيق جديد، خذ دقيقة لمراجعته. فضّل الخدمات التي تشرح كيف تخزن البيانات ولديها سجل حافل راسخ. وإذا كان التطبيق يريد وثائق هوية، ففكّر فيما إذا كان هناك بديل أكثر رسوخًا.

وإذا كنت تبني تطبيقات بنفسك، فالنصيحة العامة هي مراجعة قواعد الوصول إلى قاعدة البيانات قبل الإطلاق بدلًا من الثقة بالكود المولّد، واختبار تطبيقك كزائر غير مصادق عليه لمعرفة البيانات التي يمكن الوصول إليها.

الخلاصة

تُظهر حادثة تسريب البيانات المبلّغ عنها في تطبيقات مبنية بالذكاء الاصطناعي عبر Supabase أن التطبيق الذي يعمل ليس بالضرورة آمنًا. ابدأ بالتحقق مما إذا كان بريدك الإلكتروني يظهر في تسريبات معروفة باستخدام خدمة مثل Have I Been Pwned، وغيّر كلمات المرور لأي حساب يظهر. ثم امنح كل تطبيق جديد فقط الحد الأدنى من البيانات الشخصية التي يحتاجها. ولمعرفة كيف تُستخدم السجلات المكشوفة، اقرأ تغطيتنا لـاختراق Paidwork الذي سرّب 23 مليون بريد إلكتروني وبيانات مصرفية.