vibe coding 的安全账单到了：1.6 万个 Supabase 数据库裸奔

UpGuard 10 月 1 日的报告：16,326 个 Supabase 数据库表可以被任意人读取，过半涉及个人数据；一家加拿大移民服务机构，884 个明文密码直接躺在那里。UpGuard 说这些应用大多是由 AI coding agent 构建的（官方报告口径，10 月 17 日有 Medium 长文转述）。另一边，南非咖啡连锁 Bootlegger 的 CEO 自己交代：他用 vibe coding 做了一个内部 dashboard，结果登录页源码里藏了 132 家门店的姓名、联系方式和部分经营数据，品牌方已经回应、应用下线（MyBroadband 10 月 16-17 日新闻，多方印证）。

说点实在的（个人判断，未经实测）：vibe coding 最快的路是部署，最短的板是安全。功能跑通只是 vibe coding 的及格线，安全自查才是上线线。发出去之前先查三件事：Supabase 的 RLS 规则到底开了没有；API 密钥是不是顺手塞进了客户端代码；“登录页”是不是只有前端的样子货——记住，前端校验不等于安全。这轮我们也把它归到 vibe-coding 方向：今天光讲“多快好省”的人太多了，“多危险”也得有人讲。