UpGuard 发现约 1.6 万个 Supabase 数据库向公网暴露用户数据

美国安全公司 UpGuard 的一项新研究显示，托管在开发平台 Supabase 上的约 1.6 万个数据库存在不同程度的用户数据暴露。TechCrunch 在 9 月 25 日报道了这一发现，称这些数据库在 Supabase 上运行期间，部分个人数据可以直接从公开网络访问。

按照 UpGuard 的说法，暴露的内容包括姓名、住址、电话号码，以及数量相对较少的用户密码和认证令牌。研究者的目的不是主动入侵，而是测量平台上有多少数据可以被公网直接触达。

报道给出的案例相当具体：一个印度成人直播网站上的私密聊天记录、一家美国代客泊车服务商数千个车牌号、以及某移民与搬迁服务用户的联系信息。其中一个数据库属于某个非洲国家驻法国领事馆，另一个则被用于通过虚拟 SIM 卡农场截获短信验证码，这种能力通常与诈骗和钓鱼活动相关。

UpGuard 称，虽然大部分暴露的数据集位于美国，但这是一个全球性问题。这项研究也建立在此前同类发现之上，此前已有研究曝出托管在 Supabase 上的多处暴露数据库，涉及 Y Combinator 创业公司和其他热门应用。

事件的核心背景是 AI 氛围编程（vibe coding）的爆发。Supabase 今年早些时候估值达到 100 亿美元，原因正是越来越多开发者把 AI 生成的应用托管在该平台上，但公司也因用户安全处理方式受到批评。

Supabase 首席信息安全官 Bil Harmer 回应称，公司尚未看到这份研究，同时强调其项目“默认即安全”。他把安全描述为平台与客户之间的共同责任：平台提供安全的默认设置和工具，客户决定自己项目如何配置，公司会在发现问题时通知受影响的客户。他说，Supabase 的安全工作永远没有完成。

UpGuard 安全研究员 Greg Pollock 表示，发布这项研究的意义在于提高外界对数据暴露问题的关注度。过去多年，配置不当的存储服务器、数据库和网站反复造成泄露，涉及军方邮件、移民与签证申请、政府机密文件以及大量驾照扫描件。

更值得关注的是责任落在哪里。当写代码的门槛被 AI 降到最低，数据库权限配置这类枯燥的安全基本功反而最容易被跳过。平台主张“默认安全”，用户则以为生成式工具已经把一切处理好，而 UpGuard 给出的数字说明，这段空隙正被可公开访问的真实数据填满。