Aplicaciones de codificación Vibe anunciadas 16 Mil bases de datos

Base de datos 16.326. Todos abiertos a todos, todos tienen tablas legibles. Según la investigación publicada en UpGuard el 25 de septiembre de 2026, la compañía de ciberseguridad ha encontrado rastros de datos personales más de la mitad de estas bases de datos trabajando en Supabase. El punto común de las fugas es que la mayoría de ellos tienen aplicaciones de codificación de vibraciones establecidas rápidamente con herramientas de codificación de inteligencia artificial. Las conclusiones del informe en este artículo abordan las medidas que pueden adoptarse para proteger el origen técnico y los proyectos del problema.

¿Qué han llevado los datos de supabase?

Investigación firmada Greg Pollock, Director de Investigación e Insight de UpGuard El informe de UpGuard titulado "Todo por todas partes" publicado. El equipo utilizó por primera vez los datos de detección de tecnología de BuiltWith y Google Chrome UX Report conjunto de datos. Los conmutadores de supabase y las direcciones de base de datos se han buscado en archivos JavaScript que están abiertos a todos.

En el siguiente paso, el acceso a una tabla llamada "usuarios" llamada cerca de 300 mil dominios. Se recibieron tres tipos de respuestas de bases de datos: el acceso rechazado, ninguna "lista de usuarios pero la tabla está abierta" en forma de punta o datos directos. Después de todo, se ha detectado la base de datos 16.326 para ofrecer tablas legibles.

Un hallazgo que presta atención al informe no cambia el resultado del modelo operativo. El servicio B2C o B2B del sitio no ha creado una diferencia en el tipo de datos distribuidos. En la distribución geográfica, se observó que las fugas son más comunes en las zonas en desarrollo, mientras que se observan mejores prácticas gracias a las leyes de protección de datos de Europa.

¿Qué datos está encendido?

Además de información personal como nombre, correo electrónico, fecha de nacimiento y dirección en mesas abiertas, se observaron registros PAN y Aadhaar con pasaporte, licencia y documentos de identidad de la India. Entre los datos de filtración se incluyen contraseñas, fichas de API y códigos de verificación desechables (OTP). Se encontró información de Stripe en el lado del pago y los últimos cuatro dígitos de las tarjetas.

En la distribución sectorial, el comercio electrónico y los restaurantes destacan debido a sistemas de pago con datos personales. En términos de sitios de apuestas sin licencia contraseña e información de identificación, los proveedores de productos industriales fueron clasificados como grupos de riesgo en términos de datos de clientes corporativos. Los casos que UpGuard comparte como ejemplo se concretan en el tamaño del problema:

11% de los correos electrónicos filtrados en el servicio Valet se informó que 4.560 direcciones pertenecen a empleadores regionales y empresas Fortune 500. En el caso de la consularidad, los datos aparecieron en puestos de refugio de emergencia.

¿Qué es la seguridad del nivel de fila y por qué está fuera del circuito?

Supabase es una plataforma que ofrece una base de datos de código abierto PostgreSQL con autenticación lista y capa API. La aplicación se conecta directamente a la base de datos frontal con una llave abierta a cualquiera llamado "anon". Esta clave es normalmente aceptada por el diseño para aparecer en el navegador. La seguridad de los datos se proporciona con Row Level Security (RLS), lo que significa políticas de seguridad lineales. Si RLS no está abierto, todo el que tiene anon switch eline puede leer la tabla.

La historia del problema no es nueva. Desarrollador Matt Turner en marzo 2025, Mobiliario Un error común en las bases de datos creadas con la plataforma reportada, y el código abierto CVE-2025-48757 se perdió. Según las noticias publicadas en Cybernews En Lovable, también hubo un error separado que revela el código fuente, las credenciales de la base de datos y la historia del chat artificial de inteligencia.

Supabase entonces abrió RLS en tablas creadas con Table Editor en su interfaz. Según UpGuard, el espacio principal permanece aquí: RLS por defecto en tablas creadas como programáticamente a través de la API. Los agentes de codificación también funcionan de esta manera con Supabase. También se añade que la RLS está abierta en el informe que no es suficiente por sí sola, las políticas deben establecerse adecuadamente y utilizarse con credenciales correctas.

¿Cómo crecer agentes de codificación Bulet?

Supabase in the UpGuard report is defined as the database product "Claude Código más recomendado". La investigación anterior se centró en ejemplos más pequeños de plataformas como Lovable y Replit. El nuevo estudio no es un solo vehículo, sino el permiso de una imagen general.

"El punto común es que estos sitios son creados por agentes de codificación de inteligencia artificial y no son conscientes de la configuración de las personas. "

Es necesario leer correctamente: el problema es que los agentes son maliciosos o el código no funciona. La aplicación funciona, se recibe el registro del usuario, se recibe el pago. La configuración de seguridad restante que nadie mira. En el informe se señala que la gente sabe qué tipo de trabajo, pero cómo se configura la base de datos.

Vibe Codin g El enfoque permite el desarrollo no software para eliminar productos con unos pocos comandos. La misma velocidad también fortalece la percepción de "excambiado" si se está ejecutando. Masqot previamente discutido Ataque de secuestro mostró cómo los agentes de codificación pueden ser sangre desde fuera. El caso Supabase muestra las puertas que el agente puede dejar abierto sólo debido a un ajuste perdido sin ningún ataque.

Supabase, S3 y GitHub Coast: ¿La historia de nuevo?

UpGuard compara Supabase con dos plataformas que pasan una manera similar antes. En el informe, las filtraciones de datos se expresan a partir de la palpitación del tamaño de la base de usuario con la facilidad de confundir una tecnología. La configuración predeterminada no asegurada en Amazon S3 llevó a miles de filtraciones que todavía duran, el modelo "abierto a todos como açık" de GitHub también recuerda numerosas credenciales para revelar.

La respuesta en la fachada de Supabase se estableció sobre responsabilidad conjunta. Según las noticias publicadas en TechCrunch El director de seguridad de la empresa (CISO) Bil Harmer dijo:

"La seguridad en Supabase no es un trabajo terminado en el tiempo. Nos importa hacer esto bien".

Harmer también agregó que la seguridad es una responsabilidad compartida entre los clientes con la empresa. Como base de usuario de la plataforma, que alcanzó 10 mil millones de dólares en junio de 2026, el riesgo también está creciendo a la misma velocidad según la fórmula de UpGuard. En el cierre del informe, S3 y GitHub se indican que es probable que conduzca estos problemas sin un cambio arraigado en la configuración predeterminada como lo hizo con el tiempo.

Cómo asegurar el proyecto de codificación Vibe?

Si una aplicación desarrollada con inteligencia artificial está usando Supabase, el primer control es que RLS está abierto en cada tabla. Según la documentación de los asesores de Supabase La sección del Asesor de Seguridad en el panel enumera RLS como alertas de tablas. Las tablas cerradas pueden ser protegidas por un comando SQL de línea única:

alter table public.users enable row level security;

El primer paso para abrir RLS. Si la política no está escrita después de la apertura, la tabla está completamente cerrada, una política escrita a la llegada puede dar a todos el permiso para leer. Los principales puntos a destacar son:

Interruptor de funciones Anon y Service: La clave del anión se considera normal aparecer por ciento. La clave de servicio con todas las autorizaciones nunca debe ser puesta en el navegador, aplicación móvil o un almacén abierto para todos.

Inspección de la producción de agentes: Cuando se pide la creación de tablas del agente de codificación, las políticas RLS también deben escribir, y la descripción de qué usuario puede leer qué para cada tabla.

Almacenamiento de datos sensibles: Las contraseñas se guardan en texto claro, no como hash. Los archivos como el documento de identificación no deben incluirse en áreas de almacenamiento abiertas.

Prueba: Antes de que la aplicación sea lanzada, debe decirse que un usuario que no haya sido conectado puede acceder a las tablas con el interruptor de anión.

El tema de las iniciativas de Turquía no es sólo una cuestión de ajuste técnico. Una aplicación que procesa datos personales permanece abierta, interesa directamente las obligaciones del controlador de datos en virtud de la Ley No 6698 de Protección de Datos Personales. De acuerdo con la decisión de la Junta de Protección de Datos Personales 2019/10 Las violaciones deben presentarse en la Junta a las 72 horas más recientes. KVKK y AI En el artículo escrito, las empresas fueron discutidas en detalle a lo que deberían prestar atención en este proceso. Campos de escritura de código de inteligencia artificial Añadiendo rápidamente la prueba de acceso a la base de datos a la lista de control pre-publicado de equipos que hacen que el producto sea rápido, el costo de una posible brecha sigue siendo un pequeño volumen de trabajo.

Preguntas frecuentes

¿Supabase se ha hackeado?

No, se detectó un ataque en la infraestructura de Supabase. Los plomos son causados por la configuración incorrecta de aplicaciones usando la plataforma. Las bases de datos tienen acceso a sus aplicaciones con interruptores abiertos en sus archivos JavaScript.

¿Qué es la seguridad del nivel de filas?

RLS es el mecanismo de seguridad que determina quién tiene la autoridad para leer y escribir para cada línea en PostgreSQL. La protección de los datos se basa en gran medida en las políticas de RLS, ya que se conecta directamente a la base de datos prefabricada en Supabase. Si RLS está cerrado, todos los que encuentran la llave abierta para todos pueden leer la tabla.

¿Está en riesgo de cualquier aplicación hecha con Vibegithub?

No, el riesgo está conectado a la configuración no utilizada. Según el hallazgo de UpGuard, RLS en tablas creadas a través de la API es más alto que la posibilidad de saltar este paso en los proyectos establecidos con agentes de codificación porque no se abre por defecto. Un proyecto escrito correctamente en RLS abierto y las políticas no se ve afectado por esto.

¿Cómo puedo entender si mi aplicación está afectada?

El método más rápido para comprobar las alertas de Security Advisor en el panel Supabase. Luego sin login, solo se puede probar qué datos volverán consultando tablas con interruptor anon. Si los datos giran, RLS debe ser abierto y escrito en la política.

¿Qué hacer cuando se note la base de datos abierta?

Antes de abrir RLS en las tablas correspondientes, el acceso debe ser cerrado, los conmutadores de API no filtrados y las contraseñas deben ser renovadas. Si hay una fuga que contenga datos personales, es necesario notificar a la Junta en un plazo de 72 horas en Turquía. Entre las obligaciones de informar a los usuarios afectados.

Los agentes de codificación pueden eliminar una aplicación de unas pocas horas, pero ni siquiera pregunta si bloquea las puertas de la aplicación. S3 y GitHub tuvieron años para cambiar la configuración predeterminada. Después de este informe, empresas desarrolladas por Supabase y agente de codificación, también determinará el número de nuevos casos que serán revelados en los próximos meses.