Một báo cáo được công bố trên DEV Community mô tả một "vụ vi phạm bảo mật trị giá $0", trong đó 24.664 ứng dụng do AI tạo được cho là đã làm rò rỉ hơn 80.000 bản ghi người dùng, bao gồm số hộ chiếu, thông qua cơ sở dữ liệu Supabase. Trường hợp rò rỉ dữ liệu ứng dụng do AI tạo qua Supabase này là một lời nhắc nhở hữu ích rằng tốc độ phát triển và sự an toàn của dữ liệu người dùng không phải là một.

Lưu ý về nguồn: tài liệu nguồn mà chúng tôi có chỉ giới hạn ở tiêu đề của báo cáo và một bản tóm tắt ngắn. Nó không cho chúng tôi biết ai đã phát hiện ra sự phơi bày, các ứng dụng được tìm thấy như thế nào, hoặc những ứng dụng cụ thể nào bị ảnh hưởng. Bài viết này bám sát những gì báo cáo nêu và ghi rõ nhãn cho bất kỳ thông tin nền chung nào.

Cách các cơ sở dữ liệu cấu hình sai đã làm lộ bản ghi người dùng

Theo tiêu đề của báo cáo, các bản ghi bị lộ đến từ các ứng dụng được xây dựng bằng công cụ AI sử dụng Supabase làm backend. Tiêu đề cũng mô tả sự cố này là không tốn kém gì để thực hiện, điều này gợi ý rằng không có hành vi hack tinh vi nào liên quan. Nguồn không nêu chi tiết cơ chế.

Như thông tin nền chung (không lấy từ báo cáo): Supabase là một dịch vụ cơ sở dữ liệu được lưu trữ, và quyền truy cập vào dữ liệu của nó thường được kiểm soát bởi các quy tắc do người xây dựng ứng dụng đặt ra, chẳng hạn như bảo mật cấp hàng (row level security). Nếu những quy tắc đó bị thiếu hoặc quá dễ dãi, dữ liệu có thể bị đọc bởi những người không nên thấy nó. Đó là một vấn đề cấu hình chứ không phải là một lỗ hổng đòi hỏi phải xâm nhập.

Tại sao vibe coding tạo ra khoảng trống bảo mật này

"Vibe coding" đề cập đến việc xây dựng phần mềm bằng cách mô tả những gì bạn muốn với một công cụ AI và chấp nhận mã được tạo ra với ít đánh giá thủ công. Nó có thể biến một ý tưởng thành một ứng dụng hoạt động trong vài giờ. Sự đánh đổi là các cài đặt bảo mật rất dễ bị bỏ qua khi ứng dụng có vẻ hoạt động.

Một ứng dụng có thể trông và hoạt động hoàn hảo trong khi backend của nó mở cho bất kỳ ai biết nơi để tìm. Không có gì trên màn hình cho người dùng, hoặc thường là người xây dựng, biết rằng có điều gì đó không ổn. Đây là lý do tại sao một giao diện bóng bẩy là một chỉ báo kém về mức độ cẩn thận mà dữ liệu được bảo vệ.

Điều này cũng phù hợp với một mô hình rộng hơn về các công cụ AI đang thay đổi bức tranh rủi ro. Phạm vi đưa tin của chúng tôi về cách băng đảng ransomware Aurora triển khai một tác nhân lập trình AI trong các cuộc tấn công và cách Qilin sử dụng các công cụ AI khi các cuộc tấn công ransomware ở Nhật Bản gia tăng cho thấy AI cũng đang tăng tốc công việc ở phía kẻ tấn công.

Dữ liệu nào đã bị lộ và ai gặp rủi ro

Báo cáo cho biết các bản ghi bị lộ có số lượng hơn 80.000 và bao gồm số hộ chiếu. Chi tiết hộ chiếu là một trong những thông tin nhận dạng nhạy cảm nhất mà một người có thể chia sẻ, vì chúng khó thay thế và có thể hỗ trợ gian lận danh tính khi kết hợp với tên, địa chỉ email hoặc ngày sinh.

Nguồn không nêu rõ những trường nào khác bị lộ hoặc người dùng bị ảnh hưởng ở những quốc gia nào. Bất kỳ ai đã đăng ký một ứng dụng mới hơn và tải lên giấy tờ tùy thân hoặc thông tin cá nhân đều có khả năng nằm trong nhóm đáng để ý, đặc biệt nếu ứng dụng đến từ một nhà phát triển nhỏ hoặc không rõ danh tính.

Điều này có ý nghĩa gì với bạn

Bạn thường không thể thấy cách một ứng dụng bảo vệ cơ sở dữ liệu của nó, vì vậy biện pháp phòng vệ thực tế là kiểm soát những gì bạn trao đi.

  • Đặt câu hỏi về sự cần thiết. Nếu một ứng dụng yêu cầu số hộ chiếu hoặc bản quét ID, hãy hỏi liệu dịch vụ đó có thực sự cần nó không.
  • Kiểm tra nhà phát triển. Tìm một công ty có tên, chính sách quyền riêng tư và một cách để liên hệ với bộ phận hỗ trợ. Hãy thận trọng với những ứng dụng hoàn toàn mới không có bất kỳ điều nào trong số này.
  • Sử dụng thông tin đăng nhập riêng. Một mật khẩu riêng và một bí danh email cho mỗi dịch vụ mới sẽ hạn chế thiệt hại nếu một tập bản ghi bị lộ.
  • Bỏ qua các trường tùy chọn. Bỏ qua số điện thoại, địa chỉ và tải lên tài liệu trừ khi chúng được yêu cầu.
  • Cảnh giác với các trò lừa đảo tiếp theo. Các bản ghi bị lộ thường được tái sử dụng cho lừa đảo trực tuyến và gian lận, như đã thấy khi bản ghi người dùng Paidwork được thêm vào HIBP.

Cách đánh giá ứng dụng và hạn chế những gì bạn chia sẻ

Trước khi tạo tài khoản với một ứng dụng mới, hãy dành một phút để xem xét nó. Ưu tiên các dịch vụ giải thích cách họ lưu trữ dữ liệu và có thành tích đã được thiết lập. Nếu một ứng dụng muốn giấy tờ tùy thân, hãy cân nhắc xem có một lựa chọn thay thế đã được thiết lập hơn không.

Nếu bạn tự xây dựng ứng dụng, lời khuyên chung là xem xét các quy tắc truy cập cơ sở dữ liệu trước khi ra mắt thay vì tin tưởng vào mã được tạo ra, và kiểm tra ứng dụng của bạn với tư cách là một khách truy cập chưa xác thực để xem dữ liệu nào có thể truy cập được.

Những điểm chính

Sự cố rò rỉ dữ liệu ứng dụng do AI tạo qua Supabase được báo cáo cho thấy rằng một ứng dụng hoạt động được không nhất thiết là một ứng dụng an toàn. Hãy bắt đầu bằng cách kiểm tra xem email của bạn có xuất hiện trong các vụ vi phạm đã biết hay không bằng cách sử dụng một dịch vụ như Have I Been Pwned, và thay đổi mật khẩu cho bất kỳ tài khoản nào có. Sau đó, chỉ cung cấp cho mỗi ứng dụng mới lượng dữ liệu cá nhân tối thiểu mà nó cần. Để xem các bản ghi bị lộ được sử dụng như thế nào, hãy đọc phạm vi đưa tin của chúng tôi về vụ vi phạm Paidwork làm rò rỉ 23 triệu email và dữ liệu ngân hàng.