网络安全公司 UpGuard 的最新安全研究发现，开发平台 Supabase 托管的数千个数据库正在将人们的敏感信息暴露给公共网络。
UpGuard 告诉 TechCrunch，它发现了约 16,000 个数据库在这些由 Supabase 托管的数据库中，有某种程度的个人数据被暴露。Supabase 允许网页和应用程序开发者存储并运行他们的数据库。
Supabase 今年早些时候估值达到 100 亿美元，这得益于越来越多的开发者将他们的 vibe-coded 应用托管在该平台上。但该公司在用户安全处理方面一直面临批评。已有被广泛记录的用户错误配置或在不知情的情况下将数据库暴露给更广泛的互联网的案例，其中一些案例涉及每个高达数百万条记录。
这些发现凸显了 vibe-coded 应用和网站如何通过基本的错误配置和不当的安全措施泄露或暴露敏感数据。虽然 AI 工具可以用来轻松构建网站和应用，但生成的代码往往包含安全漏洞，或者应用可能需要开发者并不了解的特定配置。
多年来，无数数据泄露事件都与配置不当的存储服务器、数据库和网站有关。此类案例已导致敏感军事邮件、移民和签证申请、政府机密文件、数十万份驾照扫描件以及儿童个人信息的泄露。
如今，AI vibe-coding 的繁荣正在助推新一波数据泄露，其中许多现在都与 Supabase 有关，因为人们越来越多地使用它来存储数据。
UpGuard 表示，它试图了解该平台上暴露数据的规模，并发现了可公开访问的姓名、地址、电话号码和用户密码。这项研究发现的密码和身份验证令牌数量较少。
该公司表示，这些数据库包含与多个项目相关的数据，例如在印度成人直播网站上与性工作者的私人对话；美国一家代客泊车服务的数千个车牌；以及使用移民和搬迁服务的人的联系信息。UpGuard 表示，其中一个数据库属于一个非洲国家在法国的领事馆，而另一个数据库被用于通过虚拟 SIM 卡池拦截短信，以发送一次性验证码来验证在线账户，通常用于发起诈骗和钓鱼攻击。
虽然这些暴露的数据集大多似乎位于美国，但 UpGuard 表示这是一个全球性问题。这些发现建立在早前研究的基础上，早前研究也发现了一系列托管在 Supabase 上的暴露数据库，包括Y Combinator 初创公司和其他热门应用。
Supabase 多年来对其平台进行了改进，包括加强其平台和用户对数据库的访问。
当被要求置评时，Supabase 首席信息安全官 Bil Harmer 表示，虽然该公司尚未看到这项研究，但其项目“默认是安全的”。他将安全描述为公司与客户之间的共同责任。他说：“我们提供安全的默认设置和工具，客户控制他们自己的项目如何配置”，并且公司在发现安全问题时通知受影响的客户。
Harmer 说：“Supabase 的安全工作永远不会结束。我们非常重视把它做好，我们将继续让每位开发者更容易安全地交付。”
UpGuard 安全研究员 Greg Pollock 表示，该公司的研究对于提高人们对数据暴露问题的认识很重要。
当您通过我们文章中的链接购买时，我们可能会赚取少量佣金。这不会影响我们的编辑独立性。
Zack Whittaker 是 TechCrunch 的安全编辑。他还撰写每周网络安全新闻简报，本周安全动态。
可以通过 Signal 上的 zackwhittaker.1337 向他发送加密消息联系他。您也可以通过电子邮件联系他，或用于核实外联，地址是zack.whittaker@techcrunch.com。