网络安全公司UpGuard最新研究发现，由开发平台Supabase托管的数千个数据库存在敏感信息暴露风险。
约1.6万个数据库暴露个人数据
UpGuard向TechCrunch透露，共发现约16,000个数据库在Supabase托管期间暴露了部分个人数据。Supabase作为允许开发者存储和运行数据库的平台，其安全性正面临严峻考验。
尽管Supabase今年早些时候估值已达100亿美元，且受益于“vibe-coded”应用托管需求的增长，但该公司因用户安全处理方式备受批评。大量案例显示，用户因错误配置或无意操作将数据库暴露于公网，涉及数据量高达数百万条记录。
AI生成代码加剧配置安全风险
此次发现凸显了基本配置错误和不恰当安全措施的危害。虽然AI工具能便捷构建网站和应用，但生成的代码常含安全漏洞，或需开发者不具备的特定配置知识，导致“vibe-coded”应用易泄露敏感数据。
历史上无数数据泄露源于存储服务器、数据库及网站的配置不当，曾导致军事邮件、移民签证申请、政府机密文件、驾照扫描件及儿童信息等泄露。如今，AI vibe-coding的繁荣正助长新一轮泄露潮，而Supabase因被广泛用于数据存储成为焦点。
暴露数据涵盖全球敏感项目
UpGuard确认平台上可公开访问姓名、地址、电话号码、用户密码及身份验证令牌等数据。受影响项目包括：
- 印度成人流媒体网站上与性工作者的私人对话；
- 美国代客泊车服务公司的数千个车牌号；
- 移民和搬迁服务人员的联系信息；
- 非洲某国驻法国领事馆数据库；
- 用于拦截短信以通过虚拟SIM农场发送验证码（常用于诈骗和网络钓鱼）的数据库。
尽管多数暴露数据集位于美国，但这实为全球性问题。此前研究也曾发现Y Combinator初创公司及其他热门应用在Supabase上存在类似暴露数据库。
Supabase回应：安全是共同责任
多年来，Supabase已加强平台及用户对数据库的访问控制。针对此事，Supabase首席信息安全官Bil Harmer表示，虽未看到该研究，但公司项目“默认是安全的”。他强调安全是公司与客户的共同责任：“我们提供安全默认设置和工具，客户掌控自身项目配置。”发现安全问题时，公司会及时通知受影响客户。
Harmer补充道：“Supabase的安全工作永无止境。我们将持续努力，确保每位开发人员都能安全发布产品。”UpGuard安全研究员Greg Pollock则认为，此项研究对提升公众数据泄露认知具有重要意义。