UpGuard 发现约 1.6 万个 Supabase 数据库对外暴露，vibe coding 应用成数据泄露新入口
安全公司 UpGuard 称，约 1.6 万个托管在 Supabase 上的数据库存在不同程度的个人数据公开暴露，内容包括姓名、地址、电话，甚至密码。Supabase 回应称项目“默认安全”，安全是平台与用户的共同责任。这轮暴露与 AI 氛围编程热潮直接相关：代码可以由模型生成，数据库配置却仍要人来把关。
事件本身：1.6 万个数据库可被公网访问
Supabase 为网页和 App 开发者提供数据库托管服务。安全公司 UpGuard 的研究发现，约 1.6 万个托管在该平台上的数据库存在不同程度的个人数据暴露，可被公共网络直接访问。
Supabase 今年早些时候估值达到 100 亿美元，推动其增长的正是越来越多开发者把 AI 生成的“氛围编程”（vibe coding，指用自然语言描述需求、由模型直接产出代码的开发方式）应用托管到该平台。但该公司在用户数据安全处理上一直受到批评：此前已有多起记录在案的案例，用户误配置或在不知情的情况下把数据库暴露到公网，个别案例单次泄露可达数百万条记录。
这类问题的共同点在于：AI 工具让建站和做应用变得很容易，但生成的代码往往自带安全漏洞，或者需要开发者根本不了解的特定配置才能安全运行。
暴露了什么数据
UpGuard 试图摸清平台上数据暴露的规模。他们发现的可公开访问内容主要是姓名、地址和电话号码，也包含部分用户密码，以及数量相对较少的身份验证令牌。
这些数据库背后是各类真实项目：
- 印度一家成人直播网站上，用户与性工作者的私人对话；
- 美国一家代客泊车服务的数千个车牌号；
- 使用移民和搬迁服务者的联系方式；
- 一个属于某非洲国家驻法国领事馆的数据库；
- 一个被用于“虚拟 SIM 卡农场”的数据库，用来拦截短信、获取一次性验证码以验证在线账户，这类手法常用于诈骗和钓鱼。
从地理位置看，大部分暴露数据集似乎在美国，但 UpGuard 称这是一个全球性问题。此次发现也建立在早期研究基础上——此前的研究同样在 Supabase 上找到过一批暴露数据库，涉及 Y Combinator 创业公司和其他流行应用。
Supabase 回应：默认安全，责任共担
Supabase 多年来持续调整平台策略，包括收紧平台侧和用户侧对数据库的访问权限。
该公司首席信息安全官 Bil Harmer 在回应置评时表示，公司尚未看到这份研究，但其项目“默认是安全的”。他把安全描述为公司与客户之间的共同责任：“我们提供安全的默认值和工具，客户决定自己项目如何配置。”他补充说，公司一旦发现安全问题，会通知受影响的客户。
“Supabase 的安全工作没有终点。我们非常重视把这件事做对，也会继续让每位开发者更容易安全地上线。”Harmer 说。
UpGuard 安全研究员 Greg Pollock 则表示，这项研究对提升人们对数据暴露问题的认知很重要。
对开发者意味着什么
配置不当导致的泄露并不是新问题。多年来，无数数据泄露事件都与配置错误的存储服务器、数据库和网站有关：敏感军事邮件、移民与签证申请、机密政府文件、数十万份驾照扫描件、儿童个人信息，都曾因此流出。
变化在于源头。过去这类事故多来自手动搭建的服务，如今 AI 编程把建应用的门槛降到了近乎零，大量项目在几天内从想法变成上线产品，而数据库权限、访问策略这些“不写进需求里”的环节最容易被跳过。对开发者来说，把 AI 生成的代码部署到生产环境前，检查数据库的公开访问设置和行级访问策略，已经不是可选项。
关键要点
- UpGuard 发现约 1.6 万个 Supabase 托管的数据库存在个人数据公开暴露，内容以姓名、地址、电话为主，也涉及部分密码和身份验证令牌。
- 暴露案例横跨直播、停车服务、移民搬迁、领事馆等场景，其中一个数据库被用于拦截短信验证码，服务于诈骗和钓鱼。
- Supabase 强调“默认安全”和共同责任模型：平台提供安全默认值与工具，具体配置由客户决定。
- AI 氛围编程降低了上线门槛，却也放大了配置失误的代价——生成的代码能跑，不等于配置是安全的。