Izvješće objavljeno na DEV Community opisuje "sigurnosni propust od 0 $“ u kojem je 24.664 AI-izrađenih aplikacija navodno procurilo više od 80.000 korisničkih zapisa, uključujući brojeve putovnica, putem Supabase baza podataka. Ovaj slučaj curenja podataka AI-izrađenih aplikacija putem Supabasea koristan je podsjetnik da brzina razvoja i sigurnost korisničkih podataka nisu ista stvar.

Napomena o izvorima: izvorni materijal koji nam je dostupan ograničen je na naslov izvješća i kratki sažetak. Ne otkriva tko je identificirao izloženost, kako su aplikacije pronađene ni koje su konkretne aplikacije bile pogođene. Ovaj se članak drži onoga što izvješće navodi i jasno označava svaku opću pozadinu kao takvu.

Kako su pogrešno konfigurirane baze podataka izložile korisničke zapise

Prema naslovu izvješća, izloženi zapisi potjecali su iz aplikacija izrađenih AI alatima koje su koristile Supabase kao svoju pozadinsku infrastrukturu. Naslov također prikazuje incident kao da nije ništa koštao za provedbu, što sugerira da nije bilo sofisticiranog hakiranja. Izvor ne detaljizira mehaniku.

Kao opća pozadina (nije preuzeto iz izvješća): Supabase je hostana usluga baze podataka, a pristup njezinim podacima obično se kontrolira pravilima koja postavlja onaj tko gradi aplikaciju, poput sigurnosti na razini retka. Ako ta pravila nedostaju ili su previše permisivna, podaci mogu biti čitljivi ljudima koji ih ne bi trebali vidjeti. To je problem konfiguracije, a ne nedostatak koji zahtijeva provalu.

Zašto vibe coding stvara ovaj sigurnosni jaz

"Vibe coding" odnosi se na izradu softvera opisivanjem onoga što želite AI alatu i prihvaćanjem generiranog koda uz malo ručnog pregleda. To može pretvoriti ideju u funkcionalnu aplikaciju u nekoliko sati. Kompromis je da je sigurnosne postavke lako previdjeti kada aplikacija izgleda da radi.

Aplikacija može izgledati i ponašati se besprijekorno dok je njezina pozadina otvorena svakome tko zna gdje tražiti. Ništa na zaslonu ne govori korisniku, a često ni graditelju, da nešto nije u redu. Zato je uglađeno sučelje loš pokazatelj koliko se pažljivo štite podaci.

To se također uklapa u širi obrazac AI alata koji mijenjaju sliku rizika. Naše izvještavanje o tome kako Aurora ransomware gang koristi AI coding agent u napadima i kako Qilin koristi AI alate dok ransomware napadi u Japanu rastu pokazuje da AI ubrzava rad i na strani napadača.

Koji su podaci izloženi i tko je u opasnosti

Izvješće navodi da izloženi zapisi broje više od 80.000 i uključuju brojeve putovnica. Podaci o putovnici među najosjetljivijim su identifikatorima koje osoba može podijeliti jer ih je teško zamijeniti i mogu podržati prijevaru identiteta u kombinaciji s imenom, adresom e-pošte ili datumom rođenja.

Izvor ne navodi koji su drugi podaci bili izloženi ni u kojim se zemljama nalaze pogođeni korisnici. Svatko tko se prijavio na noviju aplikaciju i prenio identifikacijske dokumente ili osobne podatke potencijalno je u skupini na koju vrijedi obratiti pozornost, posebno ako aplikacija dolazi od malog ili nepoznatog developera.

Što to znači za vas

Obično ne možete vidjeti kako aplikacija štiti svoju bazu podataka, pa je praktična obrana kontrolirati što predajete.

  • Preispitajte potrebu. Ako aplikacija traži broj putovnice ili skeniranje osobne iskaznice, pitajte zahtijeva li usluga to doista.
  • Provjerite developera. Potražite imenovanu tvrtku, politiku privatnosti i način kontaktiranja podrške. Budite oprezni s potpuno novim aplikacijama koje nemaju ništa od navedenog.
  • Koristite jedinstvene vjerodajnice. Zasebna lozinka i alias e-pošte za svaku novu uslugu ograničavaju štetu ako jedan skup zapisa bude izložen.
  • Preskočite neobavezna polja. Izostavite brojeve telefona, adrese i prijenose dokumenata osim ako su obavezni.
  • Pazite na naknadne prijevare. Izloženi zapisi često se ponovno koriste za phishing i prijevare, kao što je viđeno kada su korisnički zapisi Paidworka dodani u HIBP.

Kako provjeriti aplikacije i ograničiti što dijelite

Prije stvaranja računa u novoj aplikaciji, odvojite minutu za pregled. Preferirajte usluge koje objašnjavaju kako pohranjuju podatke i koje imaju uspostavljenu povijest. Ako aplikacija želi identifikacijske dokumente, razmotrite postoji li etablirana alternativa.

Ako sami gradite aplikacije, opći je savjet pregledati pravila pristupa bazi podataka prije lansiranja umjesto vjerovanja generiranom kodu te testirati aplikaciju kao neautentificirani posjetitelj kako biste vidjeli koji su podaci dostupni.

Ključni zaključci

Prijavljeni incident curenja podataka AI-izrađenih aplikacija putem Supabasea pokazuje da funkcionalna aplikacija nije nužno sigurna. Započnite provjerom pojavljuje li se vaša e-pošta u poznatim curenjima podataka pomoću usluge kao što je Have I Been Pwned i promijenite lozinke za svaki račun koji se pojavljuje. Zatim svakoj novoj aplikaciji dajte samo minimalne osobne podatke koji su joj potrebni. Da biste vidjeli kako se izloženi zapisi koriste, pročitajte naše izvještavanje o curenju podataka Paidworka koje je otkrilo 23M e-adresa i bankovnih podataka.