让 AI 几分钟搭好一个应用，不等于它也替你锁好了数据库。就像店面装修完了，仓库门却没上锁：页面上看不见的姓名、电话或密码，仍可能被人从公网直接查询。据 TechCrunch 报道，网络安全公司 UpGuard 在 Supabase 托管的数据库中发现约 1.6 万个存在不同程度个人数据暴露的项目。
Supabase 是一种后端平台，为应用提供数据库、登录认证和存储。它常被 Vibe Coding——主要靠自然语言让 AI 生成软件——采用。UpGuard 称，暴露内容包括姓名、地址、电话号码，以及数量较少的密码和认证令牌；涉及成人网站私聊、代客泊车车牌和移民服务用户联系方式等。问题往往不在“用了云数据库”，而在认证和访问规则没有配好。
这件事提醒开发者：AI 能快速搭出功能，却不会自动保证权限正确。Supabase 安全负责人 Bil Harmer 回应称，其项目“默认安全”，安全由平台与客户共同负责，项目具体配置仍由客户控制。