2026-09-26 AI 日報

TechCrunch 這兩天報導，部分 Supabase 客戶的用戶資料被公開暴露在網路上，任何人都能存取。Supabase 是這幾年最火的後端服務之一，主打「不用自己架資料庫，幾分鐘就能上線」，特別受一種新族群歡迎：用 AI 生成程式碼、俗稱「vibe coding」的獨立開發者。你可能沒聽過 Supabase，但你很可能已經在用建立在它上面的產品——某個新創的訂閱工具、某個朋友做的小網站、甚至你公司內部拿來速成的內部系統。 問題不在 Supabase 本身，在於怎麼設定它。Supabase 有一套叫 Row Level Security（列級安全）的機制，簡單講就是「誰可以看到哪一列資料」的門鎖。這道鎖預設是關閉的，得靠開發者自己手動打開、設對規則。過去這是資深工程師的基本功，現在因為 AI 能在半小時內生出一個能跑的 App，很多人根本不知道這道鎖存在，也就沒人去鎖。 這就是「用 AI 生程式碼」跟「用 AI 生一個安全的系統」之間的落差。ChatGPT 或 Claude 可以幫你寫出登入頁面、資料庫查詢、金流串接，讓你以為自己做出了一個完整產品，但它不會主動提醒你「欸這扇門忘記鎖了」。對非技術背景的創業者來說，這種落差是致命的——App 看起來會動、能賺錢，資料卻可能全公開暴露。 給一般讀者的建議很直接：如果你在用某個新創小工具，尤其是那種上線速度快到誇張、團隊只有一兩個人的產品，填資料前多想一步——問問客服他們有沒有做過安全稽核，或至少別把身分證字號、信用卡這類敏感資訊交出去。對正在「vibe coding」做副業或創業的人，AI 幫你把功能生出來只是及格邊緣，資料庫權限設定這種苦工，還是得自己補上。 AI 讓做出一個產品的門檻降到接近零，但讓一個產品「安全」的門檻，一分都沒降。