DEV Community'de yayımlanan bir rapor, 24.664 yapay zeka ile geliştirilen uygulamanın Supabase veritabanları üzerinden pasaport numaraları da dahil olmak üzere 80.000'den fazla kullanıcı kaydını sızdırdığının iddia edildiği "0 dolarlık bir güvenlik ihlalini" tanımlıyor. Bu yapay zeka ile geliştirilen uygulamalardaki veri sızıntısı Supabase vakası, geliştirme hızının ve kullanıcı verilerinin güvenliğinin aynı şey olmadığını hatırlatan faydalı bir örnektir.

Kaynak konusunda bir not: elimizde bulunan kaynak materyal, raporun başlığı ve kısa bir özetiyle sınırlıdır. İfşayı kimin tespit ettiğini, uygulamaların nasıl bulunduğunu veya hangi belirli uygulamaların etkilendiğini bize söylemiyor. Bu makale, raporun belirttiklerine bağlı kalır ve genel arka plan bilgilerini açıkça bu şekilde etiketler.

Yanlış yapılandırılmış veritabanları kullanıcı kayıtlarını nasıl ifşa etti

Raporun başlığına göre, ifşa edilen kayıtlar arka uç olarak Supabase kullanan yapay zeka araçlarıyla geliştirilmiş uygulamalardan geliyordu. Başlık ayrıca olayı gerçekleştirmenin hiçbir maliyeti olmadığı şeklinde çerçeveliyor, bu da karmaşık bir hackleme olmadığını ima ediyor. Kaynak, mekanizmanın ayrıntılarını vermiyor.

Genel arka plan olarak (rapordan alınmamıştır): Supabase barındırılan bir veritabanı hizmetidir ve verilerine erişim genellikle uygulamayı geliştiren kişi tarafından belirlenen kurallarla, örneğin satır düzeyi güvenlik ile kontrol edilir. Bu kurallar eksikse veya çok izin vericiyse, veriler görmemesi gereken kişiler tarafından okunabilir. Bu, içeri girneyi gerektiren bir kusur değil, bir yapılandırma sorunudur.

Vibe coding bu güvenlik açığını neden yaratıyor

"Vibe coding", bir yapay zeka aracına ne istediğinizi tarif ederek ve üretilen kodu çok az manuel incelemeyle kabul ederek yazılım geliştirmeyi ifade eder. Bir fikri saatler içinde çalışan bir uygulamaya dönüştürebilir. Ödünleşim, uygulama çalışıyor göründüğünde güvenlik ayarlarının gözden kaçırılmasının kolay olmasıdır.

Bir uygulama, arka ucu nerede arayacağını bilen herkese açıkken mükemmel görünebilir ve davranabilir. Ekranda hiçbir şey bir kullanıcıya, hatta çoğu zaman geliştiriciye, bir sorun olduğunu söylemez. Bu nedenle cilalı bir arayüz, verilerin ne kadar dikkatli korunduğunun zayıf bir göstergesidir.

Bu aynı zamanda yapay zeka araçlarının risk tablosunu değiştirdiği daha geniş bir örüntüye de uyuyor. Aurora fidye yazılımı çetesinin saldırılarda bir yapay zeka kodlama ajanını nasıl konuşlandırdığı ve Japonya'da fidye yazılımı saldırıları artarken Qilin'in yapay zeka araçlarını nasıl kullandığı hakkındaki haberlerimiz, yapay zekanın saldırgan tarafında da işi hızlandırdığını gösteriyor.

Hangi veriler ifşa edildi ve kimler risk altında

Rapor, ifşa edilen kayıtların sayısının 80.000'den fazla olduğunu ve pasaport numaraları içerdiğini söylüyor. Pasaport bilgileri, bir kişinin paylaşabileceği en hassas tanımlayıcılar arasındadır, çünkü değiştirilmeleri zordur ve bir ad, e-posta adresi veya doğum tarihiyle birleştirildiğinde kimlik sahtekarlığını destekleyebilir.

Kaynak, başka hangi alanların ifşa edildiğini veya etkilenen kullanıcıların hangi ülkelerde olduğunu belirtmiyor. Yeni bir uygulamaya kaydolan ve kimlik belgeleri veya kişisel bilgiler yükleyen herkes, özellikle uygulama küçük veya bilinmeyen bir geliştiriciden geldiyse, dikkat etmeye değer grup içinde potansiyel olarak yer alıyor.

Bu Sizin İçin Ne Anlama Geliyor

Bir uygulamanın veritabanını nasıl koruduğunu genellikle göremezsiniz, bu nedenle pratik savunma, ne teslim ettiğinizi kontrol etmektir.

  • Gerekliliği sorgulayın. Bir uygulama pasaport numarası veya kimlik taraması istiyorsa, hizmetin buna gerçekten ihtiyaç duyup duymadığını sorun.
  • Geliştiriciyi kontrol edin. Adı belirtilmiş bir şirket, bir gizlilik politikası ve destekle iletişim kurmanın bir yolunu arayın. Bunların hiçbirine sahip olmayan yepyeni uygulamalara karşı dikkatli olun.
  • Benzersiz kimlik bilgileri kullanın. Her yeni hizmet için ayrı bir parola ve e-posta takma adı, bir kayıt kümesi ifşa edilirse hasarı sınırlar.
  • İsteğe bağlı alanları atlayın. Gerekli olmadıkça telefon numaralarını, adresleri ve belge yüklemelerini dışarıda bırakın.
  • Takip eden dolandırıcılıklara dikkat edin. İfşa edilen kayıtlar genellikle kimlik avı ve dolandırıcılık için yeniden kullanılır; Paidwork kullanıcı kayıtlarının HIBP'ye eklendiği durumda olduğu gibi.

Uygulamalar nasıl değerlendirilir ve paylaştıklarınız nasıl sınırlandırılır

Yeni bir uygulamayla hesap oluşturmadan önce, onu incelemek için bir dakikanızı ayırın. Verilerini nasıl sakladıklarını açıklayan ve yerleşik bir geçmişi olan hizmetleri tercih edin. Bir uygulama kimlik belgeleri istiyorsa, daha yerleşik bir alternatifin olup olmadığını düşünün.

Uygulamaları kendiniz geliştiriyorsanız, genel tavsiye, üretilen koda güvenmek yerine lansmandan önce veritabanı erişim kurallarını gözden geçirmeniz ve hangi verilere erişilebildiğini görmek için uygulamanızı kimliği doğrulanmamış bir ziyaretçi olarak test etmenizdir.

Çıkarımlar

Bildirilen yapay zeka ile geliştirilen uygulamalardaki veri sızıntısı Supabase olayı, çalışan bir uygulamanın mutlaka güvenli olmadığını gösteriyor. Have I Been Pwned gibi bir hizmet kullanarak e-postanızın bilinen ihlallerde görünüp görünmediğini kontrol ederek başlayın ve görünen herhangi bir hesap için parolaları değiştirin. Ardından her yeni uygulamaya yalnızca ihtiyaç duyduğu minimum kişisel veriyi verin. İfşa edilen kayıtların nasıl kullanıldığını görmek için 23M e-posta ve bankacılık verisini sızdıran Paidwork ihlali hakkındaki haberimizi okuyun.