新闻速览
Supabase平台多个用户项目因AI生成代码与vibe-coding应用配置不当，导致大量用户数据被公开暴露至互联网。这一事件暴露了低代码开发工具在安全配置方面的系统性缺陷，对依赖快速原型开发的创业团队构成直接威胁。本文基于TechCrunch调查，梳理泄露机制、受影响范围及行业应对策略。
事件详情
2026年9月25日，TechCrunch发布调查报告指出，多个Supabase用户项目将包含个人身份信息（PII）的数据库表公开暴露在公网。泄露数据涉及姓名、电子邮件地址、电话号码及部分支付记录。调查发现，这些项目多由AI辅助生成或采用vibe-coding方式快速构建，开发者未正确配置行级安全（RLS）策略，也未启用访问控制。Supabase作为开源Firebase替代品，提供PostgreSQL数据库、认证和实时订阅服务，其默认配置允许匿名访问，但要求开发者显式启用RLS。泄露案例中，开发者跳过了这一关键步骤。受影响项目涵盖小型电商、社区论坛及内部工具，部分数据库包含数万条用户记录。Supabase官方尚未发布正式安全公告，但已通过社区渠道提醒用户检查RLS配置。
背景
Supabase自2020年推出以来，凭借PostgreSQL兼容性和免费额度吸引大量初创团队。其vibe-coding生态——即通过自然语言描述需求生成应用——在2025-2026年间爆发式增长，GitHub上相关项目数量同比增长300%。然而，AI生成代码往往缺乏安全上下文，默认生成未受保护的数据库端点。此前，Firebase曾因类似配置错误导致数据泄露，但Supabase的RLS机制更依赖开发者手动开启，增加了误配置风险。此次事件发生在全球数据隐私法规趋严的背景下，欧盟GDPR和加州CCPA均要求对个人数据实施最小权限访问。
深度解读
刘工认为，此次泄露的核心并非Supabase平台漏洞，而是AI生成代码在安全配置上的系统性盲区。AI模型训练数据中，安全配置示例占比极低，导致生成代码默认跳过RLS。刘工对比了传统开发流程：开发者需阅读文档并手动启用RLS，而AI生成代码将这一步骤视为可选项。刘工预测，若不改进AI训练数据的安全标注，此类问题将随vibe-coding普及而指数级增长。刘工指出，Supabase的商业模式依赖开发者信任，此次事件虽非平台直接责任，但可能削弱其作为企业级后端的声誉。刘工引用数据：Supabase在2025年获得1.2亿美元B轮融资，估值达12亿美元，其客户中70%为早期创业团队。若这些团队因数据泄露面临法律诉讼，将直接冲击平台留存率。刘工建议Supabase推出默认开启RLS的强制配置模板，并引入自动安全扫描工具，以挽回市场信心。
数据与对比
- 对比一：Supabase默认配置允许匿名访问，而Firebase默认要求认证，导致误配置率差异显著——Supabase社区论坛中RLS相关提问占30%，Firebase仅占8%。对比二：AI生成代码中，仅12%包含RLS配置，而人工编写代码中该比例为67%。对比三：受影响项目平均暴露数据量为2.3万条记录，最大单例达8.7万条。对比四：2025年vibe-coding相关项目数量同比增长300%，但安全审计工具覆盖率不足5%。
影响与展望
对行业而言，短期（3个月）内，Supabase将面临用户信任危机，预计新增付费用户增速下降15-20%。中期（1年）内，低代码平台可能集体引入默认安全配置和自动审计功能，形成行业新标准。对普通用户而言，短期需警惕使用vibe-coding构建的初创应用，避免提交敏感信息；中期随着平台安全改进，风险将逐步降低，但用户应养成检查隐私政策的习惯。
延伸思考
延伸思考
- AI生成代码的安全责任归属：开发者还是平台？
- vibe-coding生态的快速扩张与安全治理滞后矛盾
- 开源数据库平台如何平衡易用性与安全性
来源与原文
本条动态来自 TechCrunch AI（发布于 2026-09-25 17:29:46）。本站为海外 AI 动态的中文转述与观点评论，原文版权归原作者所有。
延伸阅读：2026 主流 AI 大模型对比——不追热点也能长期有用的选型指南，收藏备用。
每日聚合海外 AI 一手动态与深度观点。收藏本站，不错过每一个重要信号；返回首页查看更多。
