Core Viewpoint - The article highlights a significant vulnerability in the MCP protocol, which is widely used in the AI industry, allowing attackers to exploit LLM's instruction/data confusion to access databases directly [1][3]. Group 1: Vulnerability Details - The MCP protocol has become a standard in the agent field, effectively connecting large language models with various tool services, but it is susceptible to malicious instructions hidden within user data [3][5]. - Researchers demonstrated the security risks of LLMs by building a multi-tenant customer service SaaS system using Supabase, which includes a database, authentication, and file storage [5][21]. - The attack utilized default configurations, including standard service roles and row-level security (RLS), without any additional protective measures [6][21]. Group 2: Attack Process - The attacker submitted a technical support request with a message that disguised malicious instructions, which were processed normally by the system [9][10]. - When developers later accessed unresolved tickets, they inadvertently executed embedded instructions within the attacker's message, leading to unauthorized data access [12][13]. - The system generated SQL queries that bypassed RLS restrictions, allowing sensitive data to be displayed in the conversation thread [15][17]. Group 3: Risk Mitigation Measures - The article suggests two primary measures to reduce exposure to such attacks: using read-only modes to prevent unauthorized data manipulation and implementing prompt injection filters to intercept and manage high-risk inputs [22][23]. - These measures aim to create a first line of defense against potential exploitation, especially for teams using third-party IDEs where context boundaries are unclear [23].

图片来源： Supabase Z Highlights 01 Vibe Coding 大火背后： Supabase 兼顾效率与安全，便捷实现全栈开发 繁琐的后端配置往往并不是产品创新的核心，但却耗费开发者众多精力，这一 " 技术门槛 " 也让很多人对开发与编程这件事望而却步。随着 AI 的发展，它 有可能降低创作过程中让开发者体验感大打折扣的 " 间接成本 " 吗？ Vibe Coding 这一热词最先由 OpenAI 的联合创始人 Andrej Karpathy 提出，指代近年兴起的 AI 编程新模式，其核心思想是以自然语言驱动编码，由 AI 生 成原始代码。换言之，在软件开发过程中，人们不再受制于编程语言的限制，反而将重点转移到产品创新以及用户体验等 " 氛围 "(vibe) 之上， AI 实时将 其转换为可执行代码。 在传统编程领域中，后端搭建过程中的 API 开发、数据库管理、服务器配置等问题通常是一项既复杂又耗时的任务。为加快开发进程， Google 推出 Baas （后端即服务）产品 Firebase ，帮助开发者快速解决后端搭建过程中的 API 开发、数据库管理、服务器配置等问题。 Supaba ...

幸运的是，这两次攻击都由白帽黑客（负责任的安全研究员）在没有恶意破坏的前提下发现并反馈。为此，Harley Kimball 将自己的遭遇进行了总结与复 盘，希望为更多的初创项目和个人开发者敲响警钟。 不过，看起来轻松高效的背后，也藏着不小的安全隐患。并不是每个人、每个项目都适合靠"氛围"上代码。 这不，一位开发者 Harley Kimball 就在 X 上分享了自己使用"氛围编码"而后"掉坑"的经历。他用了三天不到的时间开发并上线了一个聚合网站的应用，殊 不知，却在随后短短两天内接连遭遇两次安全漏洞攻击。 今年 2 月，OpenAI 前创始成员 Andrej Karpathy 凭一己之力，带火了一个词——"氛围编码"（Vibe Coding）。 简单说，就是"你说想法，AI 写代码"。就算完全不懂编程，只要有个点子，借助像 Cursor、ChatGPT 这样的 AI 工具，也能快速做出一个应用、小游戏之 类的。这种"说着就能写程序"的方式吸引了不少开发者尝试。 三天快速开发的网站 Harley Kimball 做的这个应用，说白了就是一个把各大安全研究员平台（像 HackerOne、Bugcrowd、GitH ...

编译 | Tina、核子可乐 2020 年，开源数据库 Supabase 刚成立时，CEO Paul Copplestone 或许难以预见，它将在 2025 年 站上"Vibe Coding"这一开发趋势的风口。 本周，Supabase 的发展已经迎来高光时刻：据《财富》杂志报道， Supabase 宣布完成 2 亿美元 D 轮融资，投后估值 20 亿美元。本轮由 Accel 领投，Coatue、Y Combinator、Craft Ventures 及老股 东 Felicis 参投。距离其上一轮 8000 万美元融资仅过去 7 个月，累计融资已达近 4 亿美元。 Supabase 的崛起也反映出开源数据库在 AI 应用时代的新定位。凭借"开箱即用"的数据库体验， Supabase 极大降低了 SQL 数据库在实际开发中的接入门槛，也因此成为 Lovable 等快速增长的 Vibe Coding 工具的首选后端。其 Slogan "Build in a weekend, scale to millions（周末搭建，支撑百 万级用户）"，精准切中新一代 AI 原生应用的需求。 Vibe Coding 流程通常 ...

图片来源： Scale AI 2020 年，开源数据库 Supabase 成⽴时，其新西兰籍⾸席执⾏官 Paul Copplestone 未曾料到，公司会精准踩中 2025 年最⼤趋势Vibe Coding的⻛⼝。 根据财富报道，这家初创公司于4⽉末成果显现， 公司宣布完成由 Accel 领投的 2 亿美元 D 轮融资，投后估值达 20 亿美元，Coatue、Y Combinator、 Craft Ventures 及⻓期投资者 Felicis 参与本轮投资。 此次新获 2 亿美元融资，距离 Supabase 宣布由 Peak XV（红杉分拆机构）和 David Sacks 的 Craft Ventures 领投 8000 万美元仅七个⽉。当时公司未对估值 置评，但 PitchBook 数据显⽰约为 9 亿美元。 参考资料 ⾄此，这家初创公司总融资额已达约 3.98 亿美元。 Supabase 再次证明了开源项⽬在商业上的巨⼤成功潜⼒。它提供了 Firebase 的开源版本，这是⾕歌的 数据库 AI 应⽤开发平台，并以每⽉最⾼ 600 美元的价格托管应⽤，企业⽤⼾费⽤更⾼。 Supabase 将开源 SQL ...

3.31-4.6 TOP10 | Best of the week of March 31, 2025 | Weekly | Daily | Monthly | Yearly | Featured | All | | --- | --- | --- | --- | --- | --- | --- | | 3月 31-4月 6 | 4月 7-13 | 4月 14—20 | 4月 21—27 | 4月 28-5月 4 | ← | → | | Readdy | റ | D | Websites that stand out, built and published in minutes | 226 | 1,142 | | | > Design Tools · Website Builder · Developer Tools | | | | | | | | Recall Augmented Browsing | D | 0 | Never wonder where you've seen something before. | 124 | 1,109 | | | Browser Extensions · Produ ...