9月25日，安全研究机构 UpGuard 向 TechCrunch 披露，其扫描发现托管在开发平台 Supabase 上的约一万六千个数据库对外公开了不同程度的个人敏感数据，Supabase 此前已被曝多次发生类似事件，但本次规模与数据多样性显著扩大。Supabase 今年早些时候完成融资，估值达到 100 亿美元，背后是开发者将 vibe coding 应用越来越多地迁入其托管服务的潮流，但同时也带来了对默认安全姿态的反复质疑。
UpGuard 的研究覆盖了多种数据类型。在不同数据库里，研究人员发现了姓名、地址、电话号码与用户密码，部分样本还包含少量密码与认证令牌。具体案例包括印度某成人流媒体网站上私人性工作者对话记录、美国某代客泊车服务的数千条车牌号、一家面向移民与搬迁服务的用户联系信息，以及一个被用于拦截短信的虚拟 SIM 农场数据库，这些一次性验证码经常被用来发动网络钓鱼与账号接管攻击。此外还有一个属于非洲某国驻法国领事馆的数据库也被暴露。研究人员强调，虽然大部分数据集位于美国，但这是全球性问题。
暴露路径：vibe coding 时代的默认配置风险
UpGuard 指出，本次发现的根源在于 vibe coding 应用的错误配置与默认安全姿态缺失。AI 工具可以快速生成网站与应用代码，但所生成代码经常包含安全缺陷，或要求开发者额外开启某些配置，而开发者本人可能并不清楚这些配置的含义。历史上，因配置不当导致的数据库泄露已经造成过大量军政邮件、移民签证申请、机密政府文件、数十万张驾照扫描件和儿童个人信息外泄。
Supabase 方面，首席信息安全官 Bil Harmer 在回应 TechCrunch 时表示，公司尚未看到 UpGuard 的具体研究，但坚持 Supabase 的项目是“secure by default”。Harmer 将安全描述为公司与其客户之间的共同责任：公司提供安全的默认值与工具，客户控制自己项目的实际配置；当发现安全问题时会通知受影响的客户。安全研究人员 Greg Pollock 评价 UpGuard 的研究“有助于提高对数据暴露问题的关注”。
行业余震：默认安全姿态成 vibe coding 基建的关键短板
这并非 Supabase 第一次被指出大规模暴露问题。此前的研究已经发现 Supabase 托管的数据库中包含 Y Combinator 创业公司以及其它热门应用的数据。Supabase 多年间持续加强其平台与用户访问能力，包括增加更严格的访问控制、更清晰的告警以及更细粒度的权限管理，但一万六千个数据库的体量说明，仅靠平台侧加固难以覆盖开发者侧的每一个错误配置。
业界普遍认为，本次研究最大的影响不在于暴露的数据库数量本身，而在于它系统化地展示了 vibe coding 浪潮下“AI 写代码快、配置门槛低、默认安全姿态未必跟得上”的结构性矛盾。多位安全从业者在社交媒体上呼吁 Supabase 与同类平台推出更显眼的“上线前检查清单”、对默认公开端口加以额外提示，并对包含个人可识别信息的数据库在公网可见时发出强提醒。可以预期，这类工具将在未来 6 个月内成为 vibe coding 基建的关键护栏。