Zpráva publikovaná na DEV Community popisuje „bezpečnostní incident za 0 $“, při němž 24 664 aplikací vytvořených AI údajně uniklo prostřednictvím databází Supabase více než 80 000 uživatelských záznamů včetně čísel pasů. Tento případ úniku dat z aplikací vytvořených AI přes Supabase je užitečnou připomínkou, že rychlost vývoje a bezpečnost uživatelských dat nejsou totéž.

Poznámka ke zdrojům: zdrojový materiál, který máme k dispozici, je omezen na titulek zprávy a krátké shrnutí. Neuvádí, kdo expozici identifikoval, jak byly aplikace nalezeny ani kterých konkrétních aplikací se to týkalo. Tento článek se drží toho, co zpráva uvádí, a veškeré obecné souvislosti takto výslovně označuje.

Jak špatně nastavené databáze odhalily uživatelské záznamy

Podle titulku zprávy pocházely odhalené záznamy z aplikací vytvořených pomocí nástrojů AI, které jako backend používaly Supabase. Titulek také rámuje incident tak, že jeho provedení nic nestálo, což naznačuje, že nešlo o sofistikované hackování. Zdroj podrobnosti o mechanismu neuvádí.

Jako obecné souvislosti (nikoli z tvrzení zprávy): Supabase je hostovaná databázová služba a přístup k jejím datům je obvykle řízen pravidly, která nastavuje ten, kdo aplikaci vytváří, například row level security. Pokud tato pravidla chybí nebo jsou příliš permisivní, data mohou být čitelná lidmi, kteří by je vidět neměli. Jde o problém konfigurace, nikoli o zranitelnost, kterou je nutné prolomit.

Proč vibe coding vytváří tuto bezpečnostní mezeru

„Vibe coding“ označuje tvorbu softwaru tak, že nástroji AI popíšete, co chcete, a přijmete vygenerovaný kód s jen minimální ruční kontrolou. Dokáže proměnit nápad v fungující aplikaci během hodin. Kompromisem je, že bezpečnostní nastavení lze snadno přehlédnout, když aplikace na první pohled funguje.

Aplikace může vypadat a chovat se bezchybně, zatímco její backend je otevřený komukoli, kdo ví, kam se podívat. Nic na obrazovce uživateli, a často ani tvůrci, neřekne, že je něco špatně. Proto je uhlazené rozhraní špatným ukazatelem toho, jak pečlivě jsou data chráněna.

To také zapadá do širšího vzorce toho, jak nástroje AI mění rizikový obraz. Naše pokrytí toho, jak skupina Aurora ransomware nasazuje AI coding agenta při útocích a jak Qilin používá nástroje AI, zatímco útoky ransomwaru v Japonsku rostou, ukazuje, že AI zrychluje práci i na straně útočníků.

Jaká data byla odhalena a kdo je ohrožen

Zpráva uvádí, že odhalených záznamů je více než 80 000 a obsahují čísla pasů. Pasové údaje patří k nejcitlivějším identifikátorům, které může člověk sdílet, protože je obtížné je nahradit a ve spojení se jménem, e-mailovou adresou nebo datem narození mohou podpořit zneužití identity.

Zdroj neuvádí, která další pole byla odhalena ani ve kterých zemích se postižení uživatelé nacházejí. Každý, kdo se zaregistroval do novější aplikace a nahrál identifikační dokumenty nebo osobní údaje, může patřit do skupiny, které je vhodné věnovat pozornost, zvláště pokud aplikace pocházela od malého nebo neznámého vývojáře.

Co to znamená pro vás

Obvykle nemůžete vidět, jak aplikace chrání svou databázi, takže praktickou obranou je kontrolovat, co odevzdáváte.

  • Zpochybněte potřebu. Pokud aplikace žádá číslo pasu nebo sken průkazu totožnosti, zeptejte se, zda to služba skutečně vyžaduje.
  • Prověřte vývojáře. Hledejte jmenovanou společnost, zásady ochrany osobních údajů a způsob, jak kontaktovat podporu. Buďte opatrní u zcela nových aplikací, které nic z toho nemají.
  • Používejte jedinečné přihlašovací údaje. Samostatné heslo a e-mailový alias pro každou novou službu omezí škody, pokud dojde k odhalení jedné sady záznamů.
  • Vynechejte volitelná pole. Neuvádějte telefonní čísla, adresy ani nenahrávejte dokumenty, pokud to není povinné.
  • Sledujte navazující podvody. Odhalené záznamy se často znovu používají pro phishing a podvody, jak se ukázalo, když byly uživatelské záznamy Paidwork přidány do HIBP.

Jak prověřovat aplikace a omezit, co sdílíte

Než si u nové aplikace vytvoříte účet, věnujte minutu jejímu prozkoumání. Upřednostněte služby, které vysvětlují, jak ukládají data, a mají osvědčenou historii. Pokud aplikace chce identifikační dokumenty, zvažte, zda neexistuje zavedenější alternativa.

Pokud aplikace vytváříte sami, obecná rada zní zkontrolovat pravidla přístupu k databázi před spuštěním, místo abyste důvěřovali vygenerovanému kódu, a otestovat aplikaci jako neautentizovaný návštěvník, abyste zjistili, která data jsou dostupná.

Hlavní poznatky

Hlášený incident úniku dat z aplikací vytvořených AI přes Supabase ukazuje, že fungující aplikace nemusí být nutně bezpečná. Začněte tím, že si pomocí služby, jako je Have I Been Pwned, ověříte, zda se váš e-mail neobjevuje ve známých únicích, a změňte hesla u všech dotčených účtů. Poté každé nové aplikaci poskytněte jen minimální osobní údaje, které potřebuje. Chcete-li vidět, jak se odhalené záznamy využívají, přečtěte si naše pokrytí úniku Paidwork, který odhalil 23 milionů e-mailů a bankovních dat.