DEV Community上发布的一份报告描述了一起“零成本安全泄露”事件，据称24,664个由AI构建的应用通过Supabase数据库泄露了超过80,000条用户记录，其中包括护照号码。这起AI构建应用数据泄露Supabase事件提醒我们：开发速度与用户数据安全并非同一回事。

关于信息来源的说明：我们可获取的源材料仅限于报告的标题和一段简短摘要。其中并未说明是谁发现了此次暴露、这些应用是如何被发现的，以及哪些具体应用受到了影响。本文仅依据报告所述内容，并将任何一般性背景信息明确标注为背景。

配置错误的数据库如何暴露用户记录

根据报告标题，泄露的记录来自使用AI工具构建、以Supabase作为后端支撑的应用。标题还将该事件定性为零成本即可实施，这表明其中不涉及复杂的黑客攻击手段。来源并未详述具体机制。

作为一般性背景（非来自报告）：Supabase是一项托管数据库服务，对其数据的访问通常由构建应用者设定的规则来控制，例如行级安全策略。如果这些规则缺失或过于宽松，数据就可能被不应看到它们的人读取。这属于配置问题，而非需要攻破系统的漏洞。

为什么氛围编程造成了这一安全缺口

“氛围编程”（vibe coding）指的是通过向AI工具描述需求来构建软件，并在几乎不做人工审查的情况下接受生成的代码。它可以在数小时内将一个想法变成可运行的应用。代价是，当应用看起来能正常工作时，安全设置很容易被忽视。

一个应用可以在外观和功能上表现完美，而其后端却对任何知道去哪里查看的人完全开放。屏幕上没有任何信息会告诉用户——往往也不会告诉构建者——出了问题。这就是为什么精致的界面并不能可靠地反映数据保护的严密程度。

这也符合AI工具改变风险格局的更广泛模式。我们对Aurora勒索软件团伙在攻击中部署AI编程代理以及Qilin利用AI工具之际日本勒索软件攻击上升的报道表明，AI同样在加速攻击方的工作。

哪些数据被暴露，谁面临风险

报告称，被暴露的记录超过80,000条，并包含护照号码。护照信息是一个人所能提供的最敏感的身份标识之一，因为它们难以补办，且与姓名、电子邮件地址或出生日期结合后可能助长身份欺诈。

来源未具体说明还暴露了哪些其他字段，也未说明受影响用户所在的国家。任何注册过较新应用并上传了身份证件或个人信息的人，都可能属于值得关注的群体，尤其是当该应用来自小型或不知名的开发者时。

这对你意味着什么

你通常无法看到一个应用如何保护其数据库，因此实际的防御手段是控制你交出的信息。

  • 质疑必要性。 如果应用要求提供护照号码或身份证扫描件，请先问这项服务是否确实需要。
  • 核查开发者。 寻找有名称的公司、隐私政策以及联系客服的方式。对完全不具备这些要素的全新应用要保持警惕。
  • 使用唯一凭据。 为每项新服务设置单独的密码和电子邮件别名，可以在某一组记录被暴露时限制损害。
  • 跳过可选字段。 除非必填，否则不要填写电话号码、地址和上传证件。
  • 警惕后续诈骗。 被暴露的记录常被用于网络钓鱼和欺诈，正如Paidwork用户记录被加入HIBP时所见到的那样。

如何审查应用并限制你分享的信息

在为新应用创建账户之前，花一分钟审查一下。优先选择那些说明其数据存储方式且拥有良好过往记录的服务。如果某个应用要求提供身份证件，请考虑是否存在更成熟的替代方案。

如果你自己构建应用，一般性建议是在发布前审查数据库访问规则，而不是信任生成的代码，并以未认证访客的身份测试你的应用，看看哪些数据可以被访问到。

要点

据报道的AI构建应用数据泄露Supabase事件表明，能正常运行的应用未必是安全的应用。首先使用Have I Been Pwned等服务检查你的电子邮件是否出现在已知泄露事件中，并为任何受影响的账户更改密码。然后，只向每个新应用提供其所需的最少个人数据。要了解被暴露的记录如何被利用，请阅读我们对Paidwork泄露事件泄露2300万封电子邮件和银行数据的报道。