Безопасность и риски с точки зрения операций

Главное

16 000 баз данных Supabase оказались открыты из-за vibe-coding

Компания UpGuard обнаружила около 16 000 баз данных на платформе Supabase, публично открывающих личные данные - имена, адреса, телефоны, а в части случаев пароли. Причина - ошибки настройки в приложениях, написанных с помощью AI ('vibe coding'). В Supabase заявляют, что безопасность - общая ответственность платформы и клиента, но случай показывает, как быстрая AI-разработка обгоняет базовую гигиену доступа.

Что меняется для операций — Если ваша команда использовала AI-ассистентов для кода или no-code/low-code инструменты, чтобы быстро развернуть клиентскую базу данных, внутреннюю панель или форму сбора лидов на Supabase или похожем бэкенде, это прямой повод провести аудит правил доступа сейчас, а не после утечки. Vibe-coded приложения часто выпускают люди без специализации в безопасности, соглашающиеся на настройки по умолчанию, а эти настройки не всегда безопасны - находки UpGuard показывают реальные производственные данные (контакты, токены, даже перехваченные коды подтверждения), открытые всему интернету. Для компании из 10-200 человек исправление дёшево по сравнению с риском: плановая проверка row-level security и публичного доступа к API для каждой базы данных, обслуживающей клиентский или vibe-coded инструмент, должна стать постоянным пунктом, а не разовой проверкой при запуске.

Anthropic раскрыла механизм водяных знаков в текстах Claude

Если ваша команда продаж или поддержки использует Claude для черновиков исходящих писем, предложений или статей базы знаний, считайте, что этот текст теперь можно опознать как сгенерированный ИИ с помощью совместимого детектора. Некоторые корпоративные клиенты и закупочные процедуры уже требуют раскрытия факта использования ИИ в контенте или прямо запрещают такой контент — новый водяной знак делает обнаружение практически гарантированным, а не вероятностным. Руководителям операционных процессов стоит проверить, какие клиентские шаблоны проходят через Claude, решить, нужно ли добавить формулировки о раскрытии в договоры или подписи писем, и проверить, не искажают ли интеграции с CRM или сервисами поддержки форматирование текста так, что это может сломать или, наоборот, сохранить водяной знак. Команды, которые пропускают вывод Claude через несколько этапов редактирования (переписывание, перевод, объединение с текстом, написанным человеком), должны отдельно протестировать, сохраняется ли водяной знак после этих преобразований, а не полагаться на предположения.

Обвинения в адрес Grok возвращают инструменты генерации изображений под прицел проверок

Если ваша компания встроила Grok или похожую функцию генерации изображений во внутренние чат-инструменты, клиентские приложения или устройства сотрудников через интеграции с X/Twitter, сейчас самое время проверить, какие политики контента и логирование реально работают — а не предполагаются работающими. B2B-компания на 10–200 человек редко считает себя причастной к теме «безопасность ИИ», но если генеративную модель поставщика можно так злоупотребить на личном аккаунте, та же модель внутри вашего стека несёт тот же профиль риска. Проведите аудит того, какие AI-инструменты работают с личными фото или изображениями, загруженными клиентами, убедитесь, что модерация контента включена по умолчанию, а не по запросу, и пропишите в политике допустимого использования прямой запрет на применение корпоративных AI-подписок для манипуляций с изображениями вне рабочих задач. Дело не в самой новости — дело в том, что базовый инструмент широко используется в коммерческой практике и уже может находиться внутри вашего стека поставщиков.