En rapport publisert på DEV Community beskriver et «$0-sikkerhetsbrudd» der 24 664 AI-bygde apper angivelig lekket mer enn 80 000 brukerposter, inkludert passnumre, gjennom Supabase-databaser. Denne saken om datalekkasje i AI-bygde apper via Supabase er en nyttig påminnelse om at utviklingshastighet og sikkerhet for brukerdata ikke er det samme.

En merknad om kildegrunnlaget: kildematerialet vi har tilgang til, er begrenset til rapportens overskrift og et kort sammendrag. Det forteller oss ikke hvem som identifiserte eksponeringen, hvordan appene ble funnet, eller hvilke spesifikke apper som ble berørt. Denne artikkelen holder seg til det rapporten sier og merker tydelig all generell bakgrunnsinformasjon som nettopp det.

Hvordan feilkonfigurerte databaser eksponerte brukerposter

Ifølge rapportens tittel kom de eksponerte postene fra apper bygget med AI-verktøy som brukte Supabase som backend. Overskriften rammer også inn hendelsen som kostnadsfri å gjennomføre, noe som tyder på at det ikke var snakk om sofistikert hacking. Kilden går ikke i detalj på mekanismene.

Som generell bakgrunn (ikke hentet fra rapporten): Supabase er en hostet databasetjeneste, og tilgang til dataene styres vanligvis av regler satt av den som bygger appen, for eksempel radnivåsikkerhet. Hvis disse reglene mangler eller er for permissive, kan data være lesbare for personer som ikke burde se dem. Det er et konfigurasjonsproblem snarere enn en sårbarhet som krever innbrudd.

Hvorfor vibe coding skaper dette sikkerhetsgapet

«Vibe coding» viser til å bygge programvare ved å beskrive hva du vil ha til et AI-verktøy og godta den genererte koden med liten manuell gjennomgang. Det kan gjøre en idé om til en fungerende app på timer. Avveiningen er at sikkerhetsinnstillinger er lette å overse når appen ser ut til å fungere.

En app kan se ut og oppføre seg perfekt mens backenden er åpen for alle som vet hvor de skal se. Ingenting på skjermen forteller en bruker, eller ofte byggeren, at noe er galt. Dette er grunnen til at et polert grensesnitt er en dårlig indikator på hvor nøye dataene beskyttes.

Dette passer også inn i et bredere mønster der AI-verktøy endrer risikobildet. Vår dekning av hvordan Aurora ransomware-gjengen bruker en AI-kodeagent i angrep og hvordan Qilin bruker AI-verktøy mens ransomware-angrepene i Japan øker viser at AI også fremskynder arbeidet på angriperens side.

Hvilke data ble eksponert og hvem er i faresonen

Rapporten sier at de eksponerte postene utgjør mer enn 80 000 og inkluderer passnumre. Passopplysninger er blant de mest sensitive identifikatorene en person kan dele, fordi de er vanskelige å erstatte og kan legge til rette for identitetssvindel når de kombineres med et navn, en e-postadresse eller en fødselsdato.

Kilden spesifiserer ikke hvilke andre felt som ble eksponert eller hvilke land de berørte brukerne er i. Alle som har registrert seg for en nyere app og lastet opp identitetsdokumenter eller personopplysninger, er potensielt i gruppen det er verdt å være oppmerksom på, spesielt hvis appen kom fra en liten eller ukjent utvikler.

Hva dette betyr for deg

Du kan vanligvis ikke se hvordan en app beskytter databasen sin, så det praktiske forsvaret er å kontrollere hva du overlater.

  • Still spørsmål ved behovet. Hvis en app ber om et passnummer eller en ID-skanning, spør om tjenesten virkelig krever det.
  • Sjekk utvikleren. Se etter et navngitt selskap, en personvernerklæring og en måte å kontakte support på. Vær forsiktig med helt nye apper som ikke har noe av dette.
  • Bruk unike påloggingsopplysninger. Et eget passord og en e-postalias for hver nye tjeneste begrenser skaden hvis ett postsett eksponeres.
  • Hopp over valgfrie felt. Utelat telefonnumre, adresser og dokumentopplastinger med mindre de er påkrevd.
  • Vær på vakt mot oppfølgingssvindel. Eksponerte poster brukes ofte på nytt til phishing og svindel, slik man så da Paidwork-brukerposter ble lagt til i HIBP.

Hvordan vurdere apper og begrense hva du deler

Før du oppretter en konto hos en ny app, ta et minutt til å gjennomgå den. Foretrekk tjenester som forklarer hvordan de lagrer data og som har en etablert historikk. Hvis en app vil ha identitetsdokumenter, vurder om det finnes et mer etablert alternativ.

Hvis du bygger apper selv, er det generelle rådet å gjennomgå databasetilgangsregler før lansering i stedet for å stole på generert kode, og å teste appen din som en uautentisert besøkende for å se hvilke data som er tilgjengelige.

Hovedpunkter

Den rapporterte hendelsen med datalekkasje i AI-bygde apper via Supabase viser at en fungerende app ikke nødvendigvis er en sikker en. Start med å sjekke om e-postadressen din dukker opp i kjente brudd ved hjelp av en tjeneste som Have I Been Pwned, og bytt passord for alle kontoer som gjør det. Gi deretter hver ny app kun de minimale personopplysningene den trenger. For å se hvordan eksponerte poster brukes, les vår dekning av Paidwork-bruddet som lekket 23 millioner e-poster og bankdata.