Supabaseユーザーの一部、大量のユーザーデータをウェブに公開中

Supabaseでホストされている約16,000個のデータベースから、個人情報が大規模に公開されていることが判明した。名前、住所、電話番号、さらにはパスワードまで。セキュリティ企業UpGuardの研究によると、これはAIで生成されたコードや「vibe-coding」と呼ばれる流行アプリケーション開発手法の急増に伴う設定ミスが原因だという。Supabaseは$10 billion 評価の企業だけに、この問題は単なる個別事例ではなく、「ノーコード・ローコード・AI生成」ツールの急速な普及と裏表の関係にある。

ここで重要な指摘は、Supabaseが「secure by default」（デフォルトで安全）と称していながら、実際の露出が起きているという矛盾だ。これはプラットフォーム側とユーザー側の「責任の曖昧さ」を象徴している。AIツールで素早くアプリが作れるようになると、開発者は「作ること」に脳力を集中する。セキュリティ設定はチェックリスト化されず、AIが生成したコードが「動いているから大丈夫」と勘違いされやすい。クラウドストレージの公開設定やAPIキーの管理という「運用の基本」が、開発スピードの前に後回しにされているのだ。

自社でAIツールを導入してアプリやWebサービスを構築する場合、注意すべき点は、「AIが作れば安全」という幻想を捨てることだ。素人がAIに書かせたコードは表面的には動作するが、内部のセキュリティ穴は目に見えない。本番運用に移す前に、データベースのアクセス権設定、APIキーやトークンの漏洩可能性、ユーザー認証の実装状況について、必ず専門家or経験者による外部レビューを入れるべきだ。「AIで簡単」という売り文句ほど危険な落とし穴はない。