「1行もコードを書いてない」——3日後、150万APIキー漏洩。身に覚えがあった【前編】

うわぁ…

バイブコーディングの末路。RLS設定忘れとか基本中の基本だけどAI任せだとこうなる

なるほど、RLS設定してないからAPIで推測されて誰でもアクセス出来たみたいな話なのか

別に想定されてたことじゃんね。最近流行りの民主化ってこういうことだな。

BaaSでテーブル・コレクションのポリシー設定がゆるゆるパターンかな？AIの場合、とりあえずデータとれるようにゆるゆる設定を指示されそう。結局はその辺りの理解がないと、プロダクションとしてはまだムズイのだろう

RLSという語は知らんが、検索したら「行レベルセキュリティー」の事だった。知ってた。会員情報画面のURLで会員番号部分を書き換えたら他人のデータが見えたみたいなレベルの話なのでは。

禁止になりそう

vive coding と superbase で RLS の相性が最悪すぎる

「150万APIキー」って……損害どのくらいになるんだろ

最近思うけど、これからはより一層深い理解が必要だよね、AIの巧みな言葉を疑ってちゃんとレビューできるか、それが問われる

自分の会社のメールアドレスを検索したらとあるサイト配下のcsvがヒットしたので確認したら全会員情報が掲載されていたことはある。そして気が向いたので珍しく運営に報告したら感謝の返信ではなくなぜかBANされた

「技術アーキテクチャのビジョン」とやらが不足してたか間違ってたかでしょ。言語化が足りなかったのでは

何を言ってるのかよくわからん。日本語変じゃね？創業者みたいな視点で書いた第三者の文章みたいな良くわからん文体。

publicスキーマだとデフォルトでは全開なのかな

どちらにしても、それなりの技術力を持った人のチェックがないコードはノーガード戦法になるのだろうな

うひょ〜ｗ//余談ですが、本邦でDM機能を持つサービスを公開する場合は法規制があります。脆弱性のみならず関係法令についてもしっかりチェックしましょう。きっとこの事業者はそういうのも気にしてないだろうね！

無免許運転みたいなもんだな

Webセキュリティプラクティスのスキルとそのテストのスキルがあれば今後は起きなくなる話なのかな

少々AIに夢を見すぎな状況だなと思う。「ボタン一つで簡単にドリンクが生成できる。味もそっくり」と持て囃すも、成分チェックをせず微細に含まれた鉛を摂取し続けているような状態。それが一部ユーザのコーディング

？DBがズルムケなのか。そりゃRLS必須だろうな。壊してくれたから気付け手良かったね。