Raport opublikowany na DEV Community opisuje „naruszenie bezpieczeństwa za 0 $”, w którym 24 664 aplikacje zbudowane przez AI rzekomo ujawniły ponad 80 000 rekordów użytkowników, w tym numery paszportów, przez bazy danych Supabase. Ten przypadek wycieku danych z aplikacji zbudowanych przez AI w Supabase jest użytecznym przypomnieniem, że szybkość tworzenia oprogramowania i bezpieczeństwo danych użytkowników to nie to samo.

Uwaga dotycząca źródła: dostępne nam materiały źródłowe ograniczają się do nagłówka raportu i krótkiego podsumowania. Nie mówią nam, kto zidentyfikował ekspozycję, jak znaleziono aplikacje ani które konkretne aplikacje zostały dotknięte. Ten artykuł trzyma się tego, co stwierdza raport, i wyraźnie oznacza wszelkie ogólne tło jako takie.

Jak błędnie skonfigurowane bazy danych ujawniły rekordy użytkowników

Zgodnie z tytułem raportu ujawnione rekordy pochodziły z aplikacji zbudowanych za pomocą narzędzi AI, które używały Supabase jako backendu. Nagłówek przedstawia również incydent jako nic niekosztujący w przeprowadzeniu, co sugeruje, że nie było involved żadnego wyrafinowanego hakowania. Źródło nie opisuje szczegółów mechaniki.

Jako ogólne tło (niezaczerpnięte z raportu): Supabase to hostowana usługa bazodanowa, a dostęp do jej danych jest zazwyczaj kontrolowany przez reguły ustawione przez osobę budującą aplikację, takie jak zabezpieczenia na poziomie wierszy (row level security). Jeśli tych reguł brakuje lub są zbyt permisywne, dane mogą być czytelne dla osób, które nie powinny ich widzieć. To problem konfiguracji, a nie luka wymagająca włamania.

Dlaczego vibe coding tworzy tę lukę w bezpieczeństwie

„Vibe coding” odnosi się do budowania oprogramowania poprzez opisywanie narzędziu AI tego, czego się chce, i akceptowanie wygenerowanego kodu przy minimalnym ręcznym przeglądzie. Może to zamienić pomysł w działającą aplikację w ciągu godzin. Kompromis polega na tym, że ustawienia bezpieczeństwa łatwo przeoczyć, gdy aplikacja wydaje się działać.

Aplikacja może wyglądać i zachowywać się idealnie, podczas gdy jej backend jest otwarty dla każdego, kto wie, gdzie szukać. Nic na ekranie nie mówi użytkownikowi, a często też twórcy, że coś jest nie tak. Dlatego dopracowany interfejs jest słabym wskaźnikiem tego, jak starannie chronione są dane.

Wpisuje się to również w szerszy wzorzec narzędzi AI zmieniających obraz ryzyka. Nasze materiały o tym, jak gang ransomware Aurora wykorzystuje agenta kodującego AI w atakach oraz jak Qilin używa narzędzi AI, gdy rośnie liczba ataków ransomware w Japonii, pokazują, że AI przyspiesza pracę również po stronie atakujących.

Jakie dane ujawniono i kto jest zagrożony

Raport mówi, że ujawnione rekordy przekraczają 80 000 i zawierają numery paszportów. Dane paszportowe należą do najbardziej wrażliwych identyfikatorów, jakie osoba może udostępnić, ponieważ trudno je wymienić, a w połączeniu z imieniem i nazwiskiem, adresem e-mail lub datą urodzenia mogą posłużyć do oszustwa tożsamości.

Źródło nie precyzuje, jakie inne pola zostały ujawnione ani w jakich krajach znajdują się dotknięci użytkownicy. Każdy, kto zarejestrował się w nowszej aplikacji i przesłał dokumenty tożsamości lub dane osobowe, potencjalnie należy do grupy, na którą warto zwrócić uwagę, zwłaszcza jeśli aplikacja pochodziła od małego lub nieznanego dewelopera.

Co to oznacza dla Ciebie

Zazwyczaj nie możesz zobaczyć, jak aplikacja chroni swoją bazę danych, więc praktyczną obroną jest kontrola tego, co przekazujesz.

  • Kwestionuj potrzebę. Jeśli aplikacja prosi o numer paszportu lub skan dokumentu tożsamości, zapytaj, czy usługa naprawdę tego wymaga.
  • Sprawdź dewelopera. Szukaj nazwanej firmy, polityki prywatności i sposobu kontaktu z pomocą techniczną. Zachowaj ostrożność wobec zupełnie nowych aplikacji, które nie mają żadnego z tych elementów.
  • Używaj unikalnych danych logowania. Oddzielne hasło i alias e-mail dla każdej nowej usługi ograniczają szkody, jeśli jeden zestaw rekordów zostanie ujawniony.
  • Pomijaj pola opcjonalne. Nie podawaj numerów telefonów, adresów ani nie przesyłaj dokumentów, chyba że są wymagane.
  • Uważaj na oszustwa następcze. Ujawnione rekordy są często ponownie wykorzystywane do phishingu i oszustw, jak widać, gdy rekordy użytkowników Paidwork zostały dodane do HIBP.

Jak weryfikować aplikacje i ograniczać to, co udostępniasz

Przed utworzeniem konta w nowej aplikacji poświęć chwilę na jej przegląd. Preferuj usługi, które wyjaśniają, jak przechowują dane i mają ustaloną historię. Jeśli aplikacja chce dokumentów tożsamości, rozważ, czy istnieje bardziej ugruntowana alternatywa.

Jeśli sam budujesz aplikacje, ogólna rada jest taka, aby przed uruchomieniem przejrzeć reguły dostępu do bazy danych, zamiast ufać wygenerowanemu kodowi, oraz przetestować aplikację jako nieuwierzytelniony odwiedzający, aby zobaczyć, jakie dane są osiągalne.

Wnioski

Opisany incydent wycieku danych z aplikacji zbudowanych przez AI w Supabase pokazuje, że działająca aplikacja niekoniecznie jest bezpieczna. Zacznij od sprawdzenia, czy Twój e-mail pojawia się w znanych naruszeniach za pomocą usługi takiej jak Have I Been Pwned, i zmień hasła do każdego konta, które się tam pojawia. Następnie podawaj każdej nowej aplikacji tylko minimalne dane osobowe, których potrzebuje. Aby zobaczyć, jak ujawnione rekordy są wykorzystywane, przeczytaj nasze materiały o naruszeniu Paidwork, które ujawniło 23 mln e-maili i danych bankowych.