Вайб-кодинг и 16 тысяч открытых баз: что на самом деле показало исследование UpGuard

UpGuard просканировали Supabase — платформу, на которой сегодня живёт бэкенд тысяч приложений, собранных через Lovable, Bolt и другие ИИ-конструкторы. Результат: около 16 тысяч баз данных (не строк, именно баз данных), доступных из интернета без какой-либо авторизации. В большинстве — реальные персональные данные: имена, адреса, телефоны, пароли, токены доступа.

Содержимое разное, но показательное. Переписки клиентов индийского стримингового сервиса для взрослых. Тысячи автомобильных номеров из системы американского валет-паркинга. Контакты людей, обращавшихся в иммиграционное агентство. База консульства одной из африканских стран во Франции. И отдельно — открытая база SIM-фермы, через которую перехватывали одноразовые коды из СМС для мошеннических схем. Показательно, что даже криминальную инфраструктуру теперь собирают на тех же инструментах — и с теми же ошибками.

Механика проблемы. Дело не в том, что ИИ генерирует уязвимый код (хотя и в этом тоже). Supabase изначально устроен так, что доступ к таблицам регулируется политиками Row Level Security, и их нужно настроить вручную. ИИ-конструктор собирает интерфейс, подключает базу, всё работает — и разработчик, который про RLS никогда не слышал, выкатывает продукт. Публичный ключ при этом встроен во фронтенд, поэтому любой может обратиться к базе напрямую, минуя приложение. ИИ убрал порог входа, который раньше естественным образом отсеивал тех, кто не понимает, что именно он делает и публикует.

Ответ Supabase предсказуем: платформа «безопасна по умолчанию», а безопасность — зона общей ответственности с клиентом. Юридически это корректно. Но компания за восемь месяцев удвоила оценку до $10 млрд именно на притоке пользователей, для которых вторая половина этой формулы не несёт никакого смысла.

Что это меняет. Порог создания цифрового продукта упал до одного вечера и нулевой технической подготовки. Это отличная новость для экспериментов и плохая — для данных, которые в эти эксперименты попадают. Аккуратный интерфейс и работающая регистрация больше не являются сигналом о том, что за ними стоит хоть какая-то инженерная культура.

Практический вывод: с незнакомыми сервисами — минимальный набор данных. Отдельная почта, никаких сканов документов, никаких привязок карт «для доступа к функционалу». Если продукт выглядит как собранный за выходные — исходите из того, что это так и есть.

https://t.me/EvergreenCybersecurity