보안 회사 업가드가 9월 25일 낸 조사로, 공개 REST API 로 users 표를 조회해 읽히는 곳을 셌고 절반 넘게 개인정보 흔적이, 일부에는 비밀번호·인증 토큰이 들어 있었어요. 업가드는 원인으로 RLS 가 꺼진 표, 허술한 RLS 정책, 프런트엔드에 들어가는 공개 키를 비밀처럼 여긴 설계를 꼽았고, 대시보드에서 만든 표와 달리 코딩 에이전트처럼 API·SQL 로 만든 표는 RLS 가 기본으로 켜지지 않는다고 짚었어요. 다만 노출된 곳 중 몇 곳이 AI 로 만든 앱인지는 세지 않았고, 수파베이스는 테크크런치에 프로젝트가 기본적으로 안전하다고 답했어요.
용어 풀이
- RLS
- Row Level Security. 표의 행마다 누가 읽고 쓸 수 있는지 정하는 PostgreSQL 기능
- REST API
- 웹 주소로 데이터를 요청하고 받는 방식의 인터페이스
- anon
- 로그인하지 않은 방문자에게 주어지는 수파베이스 기본 역할
- CISO
- 최고 정보보호 책임자
운영자 인사이트
수파베이스를 쓰는 서비스라면 코딩 에이전트가 만든 마이그레이션까지 포함해 public 스키마의 모든 표에 RLS 가 켜져 있는지 보안 어드바이저로 확인하고, 새 표에 RLS 를 자동으로 켜는 이벤트 트리거를 걸어 두세요. 기존 프로젝트는 public 에 새로 만든 표에 anon 역할의 읽기·쓰기 권한이 자동으로 붙는다고 공식 문서에 적혀 있어요.
여러 관점으로 보기
- 언론 보도와 수파베이스 입장 테크크런치는 바이브 코딩 붐이 새 유출을 부추긴다고 썼고, 수파베이스 CISO 빌 하머는 프로젝트가 기본적으로 안전하며 안전하게 배포하기 쉽게 계속 만들겠다고 답했어요. TechCrunch
- 공식 문서의 기본값 공개 스키마에 RLS 없는 표는 권한을 가진 역할이 누구나 읽고 쓸 수 있으니 모든 표에 RLS 를 켜라고 적혀 있고, 새 표에 자동으로 켜려면 이벤트 트리거를 따로 걸어야 해요. Supabase
- 수파베이스의 2025 보안 회고 1월에 대시보드 표의 RLS 기본 켜기, 이벤트 트리거로 SQL·마이그레이션 표에 RLS 자동 적용, 보안 어드바이저 주간 메일, 레거시 anon·service_role 키를 2026년 말에 없애는 계획을 밝혔어요. Supabase