Vibe Coding Applications анонсировала 16 тысяч баз данных

База данных 16.326. Все открыты для всех, у всех есть удобные столы. Согласно исследованию, опубликованному в UpGuard 25 сентября 2026 года, компания Cybersecurity обнаружила следы личных данных более половины этих баз данных, работающих на Supabase. Общим моментом утечек является то, что большинство из них имеют быстро установленные приложения для кодирования вибрации с инструментами кодирования искусственного интеллекта. Выводы доклада в этой статье касаются шагов, которые могут быть предприняты для защиты технического происхождения и проектов проблемы.

Что такое Supabase Data?

Об этом сообщил Грег Поллок, директор UpGuard’s Research and Insight. Отчет UpGuard под названием «Всё повсюду» опубликовано. Команда впервые использовала данные технологии обнаружения набора данных BuiltWith и Google Chrome UX Report. Переключатели Supabase и адреса баз данных искали в файлах JavaScript, которые открыты для всех.

На следующем шаге доступ к таблице «пользователи» назвали около 300 тысяч доменов. Из баз данных были получены три типа ответов: доступ отказал, нет «таблицы пользователей, но таблица открыта» в виде подсказки или прямых данных. В конце концов, база данных 16.326 была обнаружена, чтобы предлагать читаемые таблицы.

Вывод, который обращает внимание на отчет, не изменяет результат операционной модели. Служба B2C или B2B сайта не создала разницы в типе распределенных данных. В географическом распределении было отмечено, что утечки чаще встречаются в развивающихся районах, в то время как более совершенная практика наблюдается благодаря законам о защите данных в Европе.

На каких данных?

Помимо личной информации, такой как имя, электронная почта, дата рождения и адрес в открытых таблицах, были замечены записи PAN и Aadhaar с паспортом, лицензией и документами удостоверения личности Индии. Пароли, токены API и коды одноразовой проверки (OTP) включены в число утечек данных. Обнаружена полосная информация на стороне оплаты и последние четыре цифры карт.

В отраслевом распределении электронная коммерция и рестораны выделяются благодаря платежным системам с персональными данными. С точки зрения пароля и идентификационной информации нелицензированных сайтов ставок, продавцы промышленных продуктов были классифицированы как группы риска с точки зрения корпоративных данных клиентов. Случаи, которые UpGuard разделяет в качестве примера, определяются размером проблемы:

11% электронных писем, просочившихся в сервис Valet, сообщили, что 4,560 адресов принадлежат региональным работодателям и компаниям из списка Fortune 500. В случае с консульскими учреждениями эти данные были представлены в пунктах временного размещения.

Что такое безопасность на низком уровне и почему она вне сети?

Supabase - это платформа, которая предлагает базу данных PostgreSQL с открытым исходным кодом с готовой аутентификацией и уровнем API. Приложение подключается непосредственно к передней базе данных с открытым ключом для всех, кто называется «anon». Этот ключ обычно принимается по дизайну, чтобы появиться в браузере. Безопасность данных обеспечивается Row Level Security (RLS), что означает политику безопасности на уровне строк. Если RLS не открыт, каждый, у кого есть анон-переключатель, может прочитать таблицу.

История этой проблемы не нова. Разработчик Мэтт Тернер в марте 2025 года съемный Распространенная неправильная конфигурация баз данных, созданных с помощью платформы, и открытый код CVE-2025-48757 был утерян. Как сообщает издание Cybernews В Lovable также была отдельная ошибка, которая раскрывает исходный код, учетные данные базы данных и историю чата искусственного интеллекта.

Затем Supabase открыла RLS в таблицах, созданных с помощью Table Editor. По словам UpGuard, здесь остается основное пространство: RLS по умолчанию на таблицах, созданных как программно через API. Кодирующие агенты также работают именно так с Supabase. Кроме того, в докладе открыто говорится о том, что одних только СБО недостаточно, что необходимо надлежащим образом разработать и использовать соответствующие политики.

Как вырастить булет агентов кодирования?

Supabase в отчете UpGuard определяется как продукт базы данных "Claude Наиболее рекомендуемый код". Предыдущие исследования были сосредоточены на небольших примерах с таких платформ, как Lovable и Replit. Новое исследование представляет собой не единый носитель, а разрешение общего изображения.

«Обычный момент заключается в том, что эти сайты создаются агентами кодирования искусственного интеллекта и не знают о конфигурации людей. " (Доклад службы охраны)

Необходимо правильно читать: проблема в том, что агенты вредоносны или код не работает. Приложение работает, регистрация пользователя получена, оплата получена. Оставшаяся конфигурация безопасности, на которую никто не смотрит. В отчете отмечается, что люди знают, какая работа, но как настроена база данных.

Vibe Codin g Этот подход позволяет непрограммной разработке удалять продукты с помощью нескольких команд. Такая же скорость также усиливает восприятие «обменника», если он работает. Ранее в Masqot Атака агентов Показано, как кодирующими агентами может быть кровь извне. Дело Супабаза показывает двери, которые агент может оставить открытыми только из-за недостающей корректировки без какой-либо атаки.

Supabase, S3 и GitHub Coast: Снова история?

UpGuard сравнивает Supabase с двумя платформами, которые проходят аналогичный путь ранее. В отчете утечки данных выражаются из-за учащения размера базы пользователей с легкостью неправильной конфигурации технологии. Незащищенные настройки по умолчанию на Amazon S3 сегодня по-прежнему приводят к тысячам утечек, модель GitHub «открыта для всех» также напоминает многочисленные учетные данные для раскрытия.

Ответ на фасаде Supabase был установлен на совместную ответственность. Как сообщает издание TechCrunch Директор по информационной безопасности компании (CISO) Бил Хармер сказал:

"Безопасность в Супабазе - это не законченная работа. Мы заботимся о том, чтобы сделать это правильно».

Хармер также добавил, что безопасность является общей ответственностью клиентов компании. По мере роста пользовательской базы платформы, которая в июне 2026 года достигла 10 млрд долларов, риск также растет с той же скоростью по формуле UpGuard. В конце отчета S3 и GitHub указывают на то, что эти проблемы могут возникнуть без коренного изменения настроек по умолчанию.

Как защитить Vibe Coding Project?

Если приложение, разработанное с использованием искусственного интеллекта, использует Supabase, первое управление заключается в том, что RLS открыт в каждой таблице. Согласно документации Supabase Advisors В разделе «Советник по безопасности» на панели перечислены RLS как предупреждения за столами. Закрытые таблицы могут быть защищены одной строкой команды SQL:

alter table public.users enable row level security;

Первый шаг к открытию RLS. Если политика не написана после открытия, таблица полностью заблокирована, политика, написанная для прибытия, все равно может дать всем разрешение на чтение. Основные моменты, которые следует отметить:

Анон и переключатель служебных ролей: Ключом к аниону считается нормальное появление процента. Ключ службы со всеми разрешениями никогда не должен быть помещен в браузер, мобильное приложение или открытый склад для всех.

Проверка выхода агента: Когда запрашивается создание таблиц из кодирующего агента, следует также написать политики RLS, и описание которых пользователь может прочитать, что для каждой таблицы.

Хранение конфиденциальных данных: Пароли хранятся в простом тексте, а не в виде хэша. Файлы, такие как ID-документ, не должны быть включены в открытые хранилища.

Тест: Перед выпуском приложения следует сказать, что пользователь, который не вошел в систему, может получить доступ к таблицам с анионным переключателем.

Тема для инициатив Турции - это не только вопрос технической корректировки. Заявка, обрабатывающая персональные данные, остается открытой, прямо заинтересованной в обязательствах контролера данных в соответствии с Законом о защите персональных данных No 6698. По решению Совета по защите персональных данных 2019/10 О нарушениях необходимо сообщать в Совет не позднее 72 часов. KVKK и AI В письменной статье компании подробно обсудили, на что им следует обратить внимание в этом процессе. Сайты написания кода искусственного интеллекта Home Быстро добавляя тест доступа к базе данных в предварительно опубликованный контрольный список команд, которые делают продукт быстрым, стоимость возможного нарушения остается небольшой рабочей нагрузкой.

Часто задаваемые вопросы

Супабаза сама себя взломала?

Нет, атака была обнаружена в инфраструктуре Supabase. Утечки вызваны неправильной конфигурацией приложений с использованием платформы. Базы данных имеют доступ к своим приложениям с открытыми переключателями в файлах JavaScript.

Что такое Row Level Security (RLS)?

RLS - это механизм безопасности, который определяет, кто имеет право читать и писать для каждой строки в PostgreSQL. Защита данных в значительной степени основана на политике RLS, поскольку она напрямую связана с базой данных в Supabase. Если RLS закрыт, все, кто находит открытый ключ, могут прочитать таблицу.

Есть ли риск применения Vibegithub?

Нет, риск связан с неиспользованной конфигурацией. Согласно выводам UpGuard, RLS в таблицах, созданных с помощью API, выше, чем возможность пропуска этого шага в проектах, созданных с помощью кодирующих агентов, поскольку он не открывается по умолчанию. Проект, правильно написанный в открытом формате RLS, не подвержен влиянию этого.

Как я могу понять, что мое заявление затронуто?

Самый быстрый способ проверки предупреждений Security Advisor на панели Supabase. Затем без входа в систему можно проверить только, какие данные вернутся, запрашивая таблицы с переключателем anon. Если данные вращаются, RLS должен быть открыт и записан в политике.

Что делать, если открыта база данных?

Перед открытием RLS на соответствующих таблицах доступ должен быть закрыт, не утекшие API-переключатели и пароли должны быть обновлены. Если произошла утечка, содержащая персональные данные, необходимо уведомить об этом Совет в течение 72 часов в Турции. Среди обязательств по информированию пострадавших пользователей.

Кодирующие агенты могут удалить приложение за несколько часов, но они даже не спрашивают, запирает ли оно двери приложения. У S3 и GitHub были годы, чтобы изменить настройки по умолчанию. После этого отчета компании, разработанные Supabase и агентом по кодированию, также определят количество новых случаев, которые будут выявлены в ближайшие месяцы.