Un raport publicat pe DEV Community descrie o „breșă de securitate de 0 $” în care 24.664 de aplicații create cu AI ar fi scurs peste 80.000 de înregistrări ale utilizatorilor, inclusiv numere de pașaport, prin bazele de date Supabase. Acest caz de scurgere de date prin Supabase în aplicații create cu AI este un memento util că viteza dezvoltării și siguranța datelor utilizatorilor nu sunt același lucru.

O notă despre sursă: materialul sursă disponibil pentru noi se limitează la titlul raportului și la un scurt rezumat. Nu ne spune cine a identificat expunerea, cum au fost găsite aplicațiile sau care aplicații specifice au fost afectate. Acest articol se limitează la ceea ce afirmă raportul și etichetează clar orice context general ca atare.

Cum au expus bazele de date configurate greșit înregistrările utilizatorilor

Conform titlului raportului, înregistrările expuse proveneau din aplicații create cu instrumente AI care foloseau Supabase ca backend. Titlul prezintă, de asemenea, incidentul ca necostând nimic pentru a fi realizat, ceea ce sugerează că nu a fost implicat hacking sofisticat. Sursa nu detaliază mecanismele.

Ca context general (nu provenit din raport): Supabase este un serviciu de baze de date găzduit, iar accesul la datele sale este de obicei controlat de reguli stabilite de cel care construiește aplicația, cum ar fi securitatea la nivel de rând. Dacă aceste reguli lipsesc sau sunt prea permisive, datele pot fi citite de persoane care nu ar trebui să le vadă. Aceasta este o problemă de configurare, nu o vulnerabilitate care necesită intrare prin efracție.

De ce vibe coding creează această breșă de securitate

„Vibe coding” se referă la construirea de software descriind ceea ce dorești unui instrument AI și acceptând codul generat cu puțină revizuire manuală. Poate transforma o idee într-o aplicație funcțională în câteva ore. Compromisul este că setările de securitate sunt ușor de trecut cu vederea atunci când aplicația pare să funcționeze.

O aplicație poate arăta și funcționa perfect în timp ce backend-ul său este deschis oricui știe unde să se uite. Nimic de pe ecran nu îi spune unui utilizator, sau adesea constructorului, că ceva este în neregulă. De aceea o interfață elegantă este un indicator slab al cât de atent sunt protejate datele.

Acest lucru se încadrează, de asemenea, într-un model mai larg al instrumentelor AI care schimbă tabloul riscurilor. Cobertura noastră despre modul în care gruparea de ransomware Aurora implementează un agent de codare AI în atacuri și despre modul în care Qilin folosește instrumente AI pe măsură ce atacurile de ransomware în Japonia cresc arată că AI accelerează munca și de partea atacatorilor.

Ce date au fost expuse și cine este în pericol

Raportul spune că înregistrările expuse depășesc 80.000 și includ numere de pașaport. Detaliile pașaportului sunt printre cele mai sensibile identificatori pe care o persoană îi poate partaja, deoarece sunt greu de înlocuit și pot susține frauda de identitate atunci când sunt combinate cu un nume, o adresă de e-mail sau o dată de naștere.

Sursa nu specifică ce alte câmpuri au fost expuse sau în ce țări se află utilizatorii afectați. Oricine s-a înregistrat pe o aplicație mai nouă și a încărcat documente de identitate sau detalii personale este potențial în grupul care merită atenție, mai ales dacă aplicația provenea de la un dezvoltator mic sau necunoscut.

Ce înseamnă acest lucru pentru tine

De obicei nu poți vedea cum o aplicație își protejează baza de date, așa că apărarea practică este să controlezi ce oferi.

  • Pune la îndoială necesitatea. Dacă o aplicație cere un număr de pașaport sau o scanare a actului de identitate, întreabă dacă serviciul chiar are nevoie de el.
  • Verifică dezvoltatorul. Caută o companie cu nume, o politică de confidențialitate și o modalitate de a contacta suportul. Fii precaut cu aplicațiile complet noi care nu au niciuna dintre acestea.
  • Folosește credențiale unice. O parolă separată și un alias de e-mail pentru fiecare serviciu nou limitează daunele dacă un set de înregistrări este expus.
  • Omite câmpurile opționale. Lasă deoparte numerele de telefon, adresele și încărcările de documente dacă nu sunt obligatorii.
  • Fii atent la escrocherii ulterioare. Înregistrările expuse sunt adesea reutilizate pentru phishing și fraudă, așa cum s-a văzut când înregistrările utilizatorilor Paidwork au fost adăugate în HIBP.

Cum să verifici aplicațiile și să limitezi ce partajezi

Înainte de a crea un cont pe o aplicație nouă, ia un minut să o revizuiești. Preferă serviciile care explică cum stochează datele și care au un istoric stabilit. Dacă o aplicație solicită documente de identitate, ia în considerare dacă există o alternativă mai consacrată.

Dacă construiești singur aplicații, sfatul general este să revizuiești regulile de acces la baza de date înainte de lansare, în loc să ai încredere în codul generat, și să testezi aplicația ca vizitator neautentificat pentru a vedea ce date sunt accesibile.

Concluzii principale

Incidentul raportat de scurgere de date prin Supabase în aplicații create cu AI arată că o aplicație funcțională nu este neapărat una sigură. Începe prin a verifica dacă adresa ta de e-mail apare în breșe cunoscute folosind un serviciu precum Have I Been Pwned și schimbă parolele pentru orice cont care apare. Apoi oferă fiecărei aplicații noi doar minimul de date personale de care are nevoie. Pentru a vedea cum sunt folosite înregistrările expuse, citește cobertura noastră despre breșa Paidwork care a scurs 23M de e-mailuri și date bancare.