AIで作ったアプリ、設定ミスで情報公開状態に

何があったの？

セキュリティ企業UpGuardの調査により、データベースサービス「Supabase」上で運用されている約1万6000件のデータベースが、氏名や住所、電話番号などの個人情報を外部から見える状態で公開していたことが分かりました。一部のデータベースにはパスワードや認証トークンも含まれており、インドの動画配信サービスの会員間のやり取りや、米国のバレーサービスの車のナンバープレート情報、移住支援サービスの顧客情報、アフリカのある国の在フランス領事館のデータベースなども対象に含まれていたと報じられています。原因は、AIを使って手早く作られた、いわゆる「バイブコーディング」的なアプリやサイトで、基本的な設定ミスやセキュリティ対策の不足があったこととされています。Supabase側は、CISOのビル・ハーマー氏が「プロジェクトは初期設定で安全（secure by default）になっている」「セキュリティは開発者とSupabaseの共同責任だ」とコメントしています。主に米国を中心とした事例が確認されていますが、記事では「世界的な問題」だとも指摘されています。

初心者にはどういう意味？

AIに「こんなアプリを作って」と頼むと、驚くほど簡単にウェブサイトやアプリの土台ができあがる時代になりました。ただし、家を建てるときに壁や床だけ作って鍵を付け忘れるようなもので、AIが作ったコードは動くけれど、個人情報を守るための「鍵をかける設定」が抜けていることがあります。今回のケースは、そうした設定ミスによって、本来は誰にも見えないはずのデータベースが外部からのぞける状態になっていた、という話です。自分でAIを使ってアプリやサイトを作る予定がある人は、「動いた＝安全」ではないことを知っておくと安心です。

私はこう思う

これはさすがにまずいですね・・・

AIを使って開発などは簡単になりつつあると思いますが、ただ動けばいいというわけでは無く、そのあとが大事なのだと思いました。

私もホームページを作る時に法律やセキュリティなどを簡単にAIに聞いただけなのでしっかりしていきたいと思います。

今日からできること

• AIを使って自分でウェブサービスやアプリを作る場合は、公開前にデータベースの公開設定（アクセス権限）を必ず確認する
• 利用しているサービスに自分の個人情報を入力する前に、そのサービスが信頼できる運営元かどうかを一度考える
• AIで手早く作られたサービスに大事な情報を入れる際は、特に慎重になる