安全公司 UpGuard 的一项新研究发现，开发平台 Supabase 上托管的大量数据库正在公网暴露用户的敏感信息。研究人员在约 16,000 个数据库中发现了某种程度的个人数据公开可访问。Supabase 是一个让网页和应用程序开发者存储及运行数据库的平台，今年早些时候估值达到 100 亿美元，部分原因是开发者越来越多地在该平台上托管他们用 AI 编写（vibe-coding）的应用。但这项研究再次将焦点拉回 Supabase 的安全处理方式。

被暴露的数据包括姓名、地址、电话号码和用户密码，还有少量密码与认证令牌。UpGuard 指出，这些数据库关联着多种项目：一个印度成人直播网站上与性工作者的私人对话记录；一个美国代客泊车服务的数千个车牌号；一家移民与搬迁服务机构的联系方式。其中一个数据库属于非洲政府驻法国领事馆，另一个则被一个虚拟 SIM 卡农场用于拦截短信，以获取用于验证在线账户的一次性验证码——这类操作通常与诈骗和钓鱼攻击相关。尽管多数暴露的数据集似乎位于美国，但 UpGuard 认为这是一个全球性问题。

这些发现建立在更早研究的基础之上。此前已有研究表明，Supabase 上托管着大量暴露的数据库，其中一些来自 Y Combinator 初创公司和其他热门应用。事件的核心原因并不复杂：vibe-coding 应用和网站可能因为基础配置错误或不当的安全设置而泄露敏感数据。AI 工具可以快速生成网站和应用，但生成的代码往往带有安全缺陷，或者应用需要开发者可能并不了解的特定配置。

Supabase 近年来已经对平台做出了一些更改，包括加强平台本身和用户访问数据库的权限。Supabase 首席信息安全官 Bil Harmer 回应称，公司尚未看到这份研究，但项目“默认是安全的”。他把安全描述为公司与客户之间的共同责任：“我们提供安全默认设置和工具，客户控制他们自己的项目如何配置。”公司发现安全问题时还会通知受影响的客户。他强调“Supabase 的安全工作永远不会结束”，并承诺会继续让每个开发者更容易安全地发布产品。UpGuard 安全研究员 Greg Pollock 则表示，这项研究对于提高人们对数据暴露问题的认识很重要。