زنگ خطر برای توسعه‌دهندگان vibe coding؛ اطلاعات هزاران کاربر در Supabase فاش شد

یافته‌های پژوهش امنیتی جدیدی از سوی شرکت امنیت سایبری UpGuard نشان می‌دهد که هزاران پایگاه داده میزبانی‌شده در پلتفرم توسعه Supabase، اطلاعات حساس و محرمانه کاربران را در بستر عمومی وب افشا کرده‌اند.

بر اساس اعلام شرکت UpGuard، حدود ۱۶ هزار پایگاه داده میزبانی‌شده در Supabase شناسایی شده‌اند که سطوحی از داده‌های شخصی را در معرض دسترسی عموم قرار داده‌اند. پلتفرم Supabase به توسعه‌دهندگان وب و اپلیکیشن امکان می‌دهد پایگاه‌های داده خود را به سادگی ذخیره و اجرا کنند.

ارزش‌گذاری Supabase در اوایل سال جاری میلادی، به‌لطف استقبال فزاینده توسعه‌دهندگان از میزبانی برنامه‌های متکی بر vibe coding در این پلتفرم، به ۱۰ میلیارد دلار رسید. با این حال، رویکرد این شرکت در مدیریت امنیت کاربران هدف انتقادهای جدی قرار گرفته است؛ چرا که موارد متعددی از پیکربندی اشتباه یا افشای ناخواسته پایگاه‌های داده در اینترنت گزارش شده که در برخی از آن‌ها میلیون‌ها رکورد اطلاعاتی فاش شده است.

یافته‌های اخیر به روشنی نشان می‌دهند که چگونه اپلیکیشن‌ها و وب‌سایت‌های توسعه‌یافته با vibe coding به دلیل خطاهای ابتدایی در پیکربندی و فقدان تمهیدات امنیتی، داده‌های حساس را لو می‌دهند. اگرچه ابزارهای هوش مصنوعی ساخت وب‌سایت‌ها و برنامه‌ها را بسیار آسان کرده‌اند، اما کدهای تولیدشده توسط این ابزارها غالباً حاوی نقایص امنیتی هستند؛ یا اینکه اجرای امن برنامه نیازمند تنظیمات ویژه‌ای است که توسعه‌دهنده به دلیل ناآشنایی از انجام آن‌ها غافل می‌ماند.

در طول سال‌های گذشته، نشت‌های اطلاعاتی بی‌شماری به دلیل سرورهای ذخیره‌سازی، دیتابیس‌ها و وب‌سایت‌های با پیکربندی غیراصولی رخ داده است. این اتفاقات بارها به افشای ایمیل‌های حساس نظامی، درخواست‌های مهاجرت و ویزا، اسناد محرمانه دولتی، صدها هزار تصویر گواهینامه رانندگی و حتی اطلاعات شخصی کودکان انجامیده است.

اکنون، رونق گرفتن گرایش vibe coding با استفاده از هوش مصنوعی، آتش موج جدیدی از نشت اطلاعات را شعله‌ور کرده است؛ موجی که به دلیل استفاده روزافزون توسعه‌دهندگان از Supabase برای ذخیره‌سازی داده‌ها، بیش از پیش نام این پلتفرم را بر سر زبان‌ها انداخته است.

به گفته UpGuard، بررسی‌های این شرکت برای درک ابعاد داده‌های فاش‌شده در این پلتفرم، به کشف نام‌ها، نشانی‌ها، شماره‌های تلفن و رمزهای عبورِ با دسترسی عمومی منجر شده است؛ هرچند تعداد پسوردها و توکن‌های احراز هویت افشاشده در مقایسه با سایر داده‌ها کمتر بوده است.

بر اساس گزارش این شرکت امنیتی، پایگاه‌های داده مذکور داده‌های مرتبط با پروژه‌های متعددی را در بر داشته‌اند؛ از جمله مکالمات خصوصی در یک سایت بزرگسالان هندی، هزاران پلاک خودرو در یک سرویس پارک خودرو در ایالات متحده، و اطلاعات تماس کاربرانی که از یک سرویس مهاجرت و اقامت بهره می‌بردند. طبق اعلام UpGuard، یکی از پایگاه‌های داده افشاشده به کنسولگری یک دولت آفریقایی در فرانسه تعلق داشته و از دیتابیس دیگری برای رهگیری پیامک‌های یک فارم سیم‌کارت مجازی استفاده می‌شده است که معمولاً برای دریافت رمزهای یک‌بارمصرف، احراز هویت حساب‌ها و اجرای حملات فیشینگ و کلاهبرداری به کار می‌روند.

اگرچه به نظر می‌رسد بخش عمده‌ای از این مجموعه‌های داده افشاشده در ایالات متحده قرار دارند، اما UpGuard تأکید می‌کند که این مسئله یک بحران جهانی است. این پژوهش بر پایه تحقیقات گذشته‌ای انجام شده که مواردی از پایگاه‌های داده افشاشده در Supabase، از جمله اطلاعات متعلق به استارتاپ‌های حاضر در Y Combinator و چند اپلیکیشن محبوب دیگر را شناسایی کرده بودند.

پلتفرم Supabase طی سال‌های اخیر تغییراتی در ساختار خود ایجاد کرده و تدابیری برای تقویت امنیت پلتفرم و مدیریت دسترسی کاربران به دیتابیس‌ها اتخاذ نموده است.

در پاسخ به درخواست اظهارنظر، Bil Harmer، مدیر ارشد امنیت اطلاعات پلتفرم Supabase، اعلام کرد با وجود اینکه شرکت هنوز متن کامل پژوهش را مشاهده نکرده، اما پروژه‌های آن «به‌صورت پیش‌فرض امن» هستند. او امنیت را یک مسئولیت مشترک میان شرکت و مشتریان توصیف کرد و گفت: «ما ابزارها و پیش‌فرض‌های امن را در اختیار کاربران می‌گذاریم، اما کنترل چگونگی پیکربندی نهایی پروژه‌ها بر عهده خود مشتریان است.» وی همچنین افزود که در صورت شناسایی مشکلات امنیتی، به مشتریان متأثر اطلاع‌رسانی خواهد شد.

Harmer در پایان تأکید کرد: «مسئله امنیت در Supabase هرگز متوقف نمی‌شود. ما حساسیت فراوانی روی پیاده‌سازی صحیح آن داریم و به تلاش‌هایمان ادامه خواهیم داد تا توسعه و انتشار ایمن نرم‌افزار برای هر برنامه‌نویسی ساده‌تر شود.»

Greg Pollock، پژوهشگر امنیتی UpGuard، نیز خاطرنشان کرد که پژوهش این شرکت گامی ضروری برای افزایش آگاهی عمومی پیرامون خطرات نشت داده‌ها محسوب می‌شود.