❗️UpGuard: около 16 000 баз данных на Supabase открыто доступны в интернете

Компания UpGuard обнаружила тысячи баз данных, размещённых на платформе Supabase, которые были публично доступны в сети и содержали персональные данные пользователей. По оценке исследователей, речь идёт примерно о 16 000 баз данных с разной степенью открытости.

Среди доступных данных - имена, адреса, телефоны и пароли, а также небольшое число токенов аутентификации. В число затронутых проектов попали взрослый стриминг-сервис из Индии, служба парковщиков в США, иммиграционное агентство, консульство одной из африканских стран во Франции и ферма виртуальных SIM-карт, использовавшаяся для перехвата одноразовых кодов подтверждения.

Проблема связана с массовым переходом на «вайб-кодинг»: ИИ-инструменты быстро генерируют приложения, но код часто содержит ошибки безопасности, а разработчики не разбираются в тонкостях настройки прав доступа. Supabase заявляет, что её проекты «безопасны по умолчанию», а безопасность - общая ответственность платформы и клиента, и обещает дальше упрощать безопасную разработку.

#Safety #AI #Supabase #Security #Development #Leaks

❗️Meta* Muse раскрывает секреты пользователей через публичные ссылки на чаты

ИИ-агент Meta* Muse, который Цукерберг называл «созданным с нуля для приватности и безопасности», легко выдаёт личные и корпоративные данные при использовании штатной функции «поделиться диалогом». Исследователи из компании Claroc обнаружили 6800 таких ссылок одним запросом к сервису passive DNS.

Причина - в устройстве URL. Все ссылки находятся на домене cf.metaaiusercontent.com, а в поддомен попадает заголовок беседы вместе с коротким случайным хешем: например, loan-application-draft-a4c9e2.cf.metaaiusercontent.com или q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com. Как только получатель открывает ссылку, DNS-запрос фиксируется в публичных базах, и страницу может найти любой. Уязвимость получила название GhostShares.

Среди найденного: заметки кандидата к конфиденциальному собеседованию в AI-лаборатории с именем внутреннего контакта и временем встречи, отчёт о выручке маркетинговой компании для гендиректора, заявка малого бизнеса на кредит с суммой, список задач с номером счёта и суммой транзакции по банковскому фроду, отчёт инвестора в недвижимость с адресами и доходностью, а также годовой график отпусков сотрудников.

Отдельно подчёркивается: Muse требует доступа к большинству аккаунтов пользователя, чтобы бронировать, покупать и заполнять формы, - то есть цена утечки здесь особенно высока.

*компания Meta признана экстремистской и запрещена на территории Российской Федерации

🎨 qvabo.studio/tg · картинки и видео

#Safety #Muse #AI #Security #Privacy #Leaks