Досье moltbook-db-exposureУтечка модели и данныхВесь мир
Социальная сеть для ИИ-агентов Moltbook раскрыла 1,5 млн API-токенов агентов
Wiz обнаружила, что в базе данных Supabase сервиса Moltbook отсутствовала защита на уровне строк (row-level security), что позволяло любому читать и записывать 1,5 млн токенов агентов, 35 000 адресов электронной почты и приватные сообщения, содержащие сторонние API-ключи.
ВысокаяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 2 февр. 2026
- Локация
- Весь мир
- Цель
- Moltbook
- Критичность
- Высокая
- Инициатор
- Wiz Research и исследователь Jameson O'Reilly (ответственное раскрытие)
- Тип субъекта
- Исследователи безопасности
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Wiz обнаружила, что в базе данных Supabase сервиса Moltbook отсутствовала защита на уровне строк (row-level security), что позволяло любому читать и записывать 1,5 млн токенов агентов, 35 000 адресов электронной почты и приватные сообщения, содержащие сторонние API-ключи.
Последствия: 1,5 миллиона API-токенов агентов, около 35 000 адресов электронной почты владельцев и приватные сообщения агентов со сторонними API-ключами были доступны для чтения и записи; любого агента можно было имперсонировать.
Кто стоит за инцидентом
Субъект: Wiz Research и исследователь Jameson O'Reilly (ответственное раскрытие)
Атрибуция: Раскрыто самой Wiz; Moltbook подтвердила и устранила проблему
Мотив: Исследование; злонамеренная эксплуатация не подтверждена
Как это произошло
Вектор атаки: API-ключ Supabase в клиентском JavaScript в сочетании с отсутствием политик row-level security на производственных таблицах
Первопричина: Платформа, созданная методом «vibe coding», была выпущена без row-level security, поэтому публичный анонимный ключ давал полный доступ на чтение и запись
Хронология
- Исследователи обнаруживают открытую базу данных Supabase
- Moltbook защищает базу данных в течение нескольких часов при помощи Wiz
- Wiz публикует результаты
Реагирование
Moltbook включила row-level security и ротировала токены; Wiz удалила данные, к которым получила доступ в ходе исследования.
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- BankInfoSecurity bankinfosecurity.com
- Wiz wiz.io
- Infosecurity Magazine infosecurity-magazine.com
- TechRadar techradar.com
Цитировать это досье
Социальная сеть для ИИ-агентов Moltbook раскрыла 1,5 млн API-токенов агентов. AI Threat Watch, досье moltbook-db-exposure, 2 февр. 2026. https://aithreat.io/ru/cases/moltbook-db-exposure/
Постоянная ссылка: https://aithreat.io/ru/cases/moltbook-db-exposure/