וייב קודינג בסיכון: 16,326 מסדי נתונים שנבנו עם בינה מלאכותית נמצאו פתוחים לכל גולש
מחקר חדש חשף אלפי מסדי נתונים שנבנו באמצעות כלי בינה מלאכותית ונותרו ללא הגנה בסיסית, וחושפים מידע אישי ופרטי תשלום של משתמשים. לעסקים שמזרזים פיתוח עם AI יש כאן שיעור קריטי.
מחקר חדש של חברת אבטחת המידע UpGuard חשף ש-16,326 מסדי נתונים שנבנו על גבי הפלטפורמה הפופולרית Supabase נותרו פתוחים לכל גולש באינטרנט, ללא סיסמה וללא צורך בשום פריצה. בתוך המסדים נמצא מידע אישי של משתמשים - שמות, כתובות, מספרי טלפון, סיסמאות, טוקני התחברות ואפילו פרטי כרטיסי אשראי. הסיבה לתקלה ההמונית הזו אינה האקרים מתוחכמים, אלא אופן העבודה של כלי הבינה המלאכותית שבעזרתם עסקים רבים בונים היום אפליקציות ואתרים במהירות שיא - מגמה שמוכרת בשם "Vibe Coding". הסיפור הזה נוגע לכל עסק שמשתמש בכלי AI כדי לפתח מוצר דיגיטלי בלי צוות פיתוח מנוסה בצד.
מה בדיוק התגלה
Supabase היא אחת הפלטפורמות הנפוצות ביותר לניהול מסדי נתונים עבור אפליקציות חדשות, והיא משמשת בסיס טכני לכלי בנייה מהירה כמו Lovable ודומיו. חוקרי UpGuard סרקו את הרשת ומצאו יותר מ-16 אלף מסדי נתונים עם טבלאות פתוחות לקריאה חופשית, ללא שום הרשאה. יותר ממחצית מהמסדים כללו מידע מזהה על משתמשים אמיתיים, בהם עסקים מהודו, הפיליפינים, ארצות הברית, קנדה ומדינות באפריקה. במקרים מסוימים נמצא גם מידע פיננסי רגיש. כלומר, מדובר בפרצות שקיימות כבר תקופה ארוכה, פשוט לא היה עד כה מי שיאתר וירכז אותן בסקירה אחת.
למה זה קורה דווקא עכשיו
הבעיה הטכנית נעוצה בפער בין שתי דרכים ליצור טבלת מידע ב-Supabase. כשמשתמש יוצר טבלה דרך ממשק הניהול הרגיל של הפלטפורמה, מנגנון האבטחה שנקרא Row Level Security (הגנה ברמת השורה) מופעל כברירת מחדל מאז תיקון אבטחה שהוטמע ב-2025. אבל כשסוכן בינה מלאכותית או כלי "וייב קודינג" יוצר את אותה טבלה באמצעות קוד, קריאות API או קובצי מיגרציה - הדרך הנפוצה שבה כלי AI בונים אפליקציות שלמות תוך דקות - ההגנה הזו נשארת כבויה כברירת מחדל. במילים אחרות, האפליקציה נראית מוכנה ועובדת מצוין, אבל בפועל כל אחד שיודע את הכתובת הנכונה יכול לקרוא את כל בסיס הנתונים שלה.
מה זה אומר לעסקים ישראלים
יותר ויותר עסקים בישראל - חברות הזנק, סוכנויות שיווק, ואפילו עסקים קטנים שרוצים אתר או אפליקציה בעלות נמוכה - פונים היום לכלי בינה מלאכותית כדי לבנות מוצרים דיגיטליים מהר וזול, בלי לשכור מפתח או צוות אבטחה. הבעיה היא שהמהירות הזו יוצרת פער ידע: מי שמזמין את המוצר לא בהכרח מבין מה קורה "מתחת למכסה המנוע", והכלי עצמו לא מתריע כברירת מחדל שהוא משאיר דלת פתוחה. במקרה של חשיפת מידע לקוחות, העסק חשוף לא רק לנזק תדמיתי אלא גם לאחריות משפטית לפי חוק הגנת הפרטיות הישראלי ותקנות דומות באיחוד האירופי, גם אם הקוד עצמו "נכתב" על ידי AI ולא בידי מפתח אנושי.
איך לבדוק אם העסק שלכם בסיכון
אם בעסק שלכם יש אפליקציה, אתר או מערכת פנימית שנבנו בעזרת כלי בינה מלאכותית בשנה-שנתיים האחרונות, כדאי לבדוק כמה דברים בסיסיים: האם כל טבלה שמכילה מידע על לקוחות מוגנת בפועל ולא רק "כלולה" במערכת; האם מי שבנה את המערכת הריץ בדיקת אבטחה בסיסית (כלים כמו הבודק המובנה של Supabase, supabase db lint, מאתרים בדיוק את הבעיה הזו); ומי בכלל אחראי על אבטחת המידע כשהקוד עצמו נוצר אוטומטית. אם אין תשובה ברורה לשאלה האחרונה, זה סימן אזהרה בפני עצמו. מומלץ להזמין בדיקת אבטחה חיצונית קצרה לכל מערכת שמכילה מידע לקוחות, גם אם היא "רק" MVP או פיילוט פנימי.
המסקנה המעשית היא פשוטה: קידוד מהיר בעזרת בינה מלאכותית לא פוטר עסק מאחריות על אבטחת המידע של לקוחותיו. ככל שכלי ה-AI הופכים נגישים יותר, כדאי לכל עסק לוודא שמישהו - פנימי או חיצוני - עובר על הגדרות ההרשאות של כל מערכת חדשה לפני שהיא יוצאת לאוויר, ולא לסמוך על כך שהכלי "כבר דאג לזה".
