Доклад, публикуван в DEV Community, описва „пробив в сигурността за $0“, при който 24 664 приложения, създадени с AI, са изтекли над 80 000 потребителски записа, включително номера на паспорти, чрез бази данни Supabase. Този случай на изтичане на данни от приложения, създадени с AI, чрез Supabase е полезно напомняне, че скоростта на разработка и сигурността на потребителските данни не са едно и също нещо.

Бележка относно източниците: наличният ни изходен материал се ограничава до заглавието на доклада и кратко резюме. Той не ни казва кой е установил излагането, как са открити приложенията или кои конкретни приложения са засегнати. Тази статия се придържа към това, което докладът твърди, и ясно обозначава всяка обща информация като такава.

Как неправилно конфигурирани бази данни са изложили потребителски записи

Според заглавието на доклада изложените записи идват от приложения, създадени с AI инструменти, които са използвали Supabase като своя backend. Заглавието също представя инцидента като такъв, който не струва нищо за осъществяване, което предполага, че не е било involved сложно хакерство. Източникът не описва подробно механиката.

Като обща информация (не произтичаща от доклада): Supabase е хостинг услуга за бази данни и достъпът до нейните данни обикновено се контролира от правила, зададени от този, който изгражда приложението, като например сигурност на ниво ред (row level security). Ако тези правила липсват или са твърде разрешителни, данните могат да бъдат четени от хора, които не би трябвало да ги виждат. Това е проблем с конфигурацията, а не дефект, който изисква проникване.

Защо vibe coding създава тази пропуск в сигурността

„Vibe coding“ се отнася до изграждане на софтуер чрез описване на това, което искате, на AI инструмент и приемане на генерирания код с малко ръчно преглеждане. Това може да превърне една идея в работещо приложение за часове. Компромисът е, че настройките за сигурност лесно се пропускат, когато приложението изглежда, че работи.

Едно приложение може да изглежда и да се държи безупречно, докато неговият backend е отворен за всеки, който знае къде да търси. Нищо на екрана не казва на потребителя, или често на създателя, че нещо не е наред. Ето защо полираният интерфейс е лош показател за това колко внимателно са защитени данните.

Това също се вписва в по-широка тенденция на AI инструментите, променящи картината на риска. Нашето отразяване на това как бандата за рансъмуер Aurora разгръща AI агент за кодиране при атаки и как Qilin използва AI инструменти, докато атаките с рансъмуер в Япония нарастват показва, че AI ускорява работата и от страна на атакуващите.

Какви данни са изложени и кой е изложен на риск

Докладът казва, че изложените записи наброяват над 80 000 и включват номера на паспорти. Паспортните данни са сред най-чувствителните идентификатори, които човек може да сподели, защото са трудни за подмяна и могат да подпомогнат измама с идентичност, когато се комбинират с име, имейл адрес или дата на раждане.

Източникът не уточнява кои други полета са изложени или в кои държави са засегнатите потребители. Всеки, който се е регистрирал в по-ново приложение и е качил документи за самоличност или лични данни, потенциално е в групата, на която си струва да се обърне внимание, особено ако приложението идва от малък или неизвестен разработчик.

Какво означава това за вас

Обикновено не можете да видите как едно приложение защитава своята база данни, така че практическата защита е да контролирате какво предоставяте.

  • Поставете под въпрос необходимостта. Ако приложение иска номер на паспорт или сканиране на документ за самоличност, попитайте дали услугата наистина го изисква.
  • Проверете разработчика. Търсете посочена компания, политика за поверителност и начин да се свържете с поддръжката. Бъдете предпазливи с чисто нови приложения, които нямат нито едно от тези.
  • Използвайте уникални идентификационни данни. Отделна парола и имейл псевдоним за всяка нова услуга ограничават щетите, ако един набор от записи бъде изложен.
  • Пропуснете незадължителните полета. Оставете без телефонни номера, адреси и качване на документи, освен ако не са задължителни.
  • Внимавайте за последващи измами. Изложените записи често се използват повторно за фишинг и измами, както се видя, когато потребителски записи на Paidwork бяха добавени към HIBP.

Как да проверявате приложения и да ограничавате какво споделяте

Преди да създадете акаунт в ново приложение, отделете минута да го прегледате. Предпочитайте услуги, които обясняват как съхраняват данни и които имат установена история. Ако приложението иска документи за самоличност, помислете дали съществува по-установена алтернатива.

Ако сами изграждате приложения, общият съвет е да прегледате правилата за достъп до базата данни преди пускане, вместо да се доверявате на генериран код, и да тествате приложението си като неавтентикиран посетител, за да видите какви данни са достъпни.

Изводи

Докладваният инцидент с изтичане на данни от приложения, създадени с AI, чрез Supabase показва, че работещото приложение не е непременно сигурно. Започнете, като проверите дали вашият имейл се появява в известни пробиви, използвайки услуга като Have I Been Pwned, и сменете паролите за всеки акаунт, който се появява. След това давайте на всяко ново приложение само минималните лични данни, които то изисква. За да видите как се използват изложени записи, прочетете нашето отразяване на пробива в Paidwork, при който изтекоха 23 млн. имейла и банкови данни.