Alcuni clienti di Supabase — un servizio di database cloud molto usato da chi costruisce app con l’AI — stanno esponendo pubblicamente dati degli utenti senza rendersene conto. Il problema non è nella piattaforma in sé, ma nella configurazione: chi ha fatto sviluppare un’app con strumenti AI o con approcci rapidi (il cosiddetto vibe coding, cioè sviluppo guidato da prompt AI senza revisione tecnica approfondita) rischia di avere permessi di accesso aperti a chiunque.
Se la tua azienda ha commissionato un’app, un portale clienti o uno strumento interno negli ultimi due anni — specialmente se sviluppato in tempi rapidi o con supporto AI — vale la pena fare un controllo. Il rischio non è solo tecnico: in caso di violazione dei dati personali, le implicazioni sul fronte GDPR sono immediate.
Questo articolo spiega il problema, chi è davvero esposto e quali sono i passi concreti da fare nei prossimi giorni.
Il problema: database aperto non significa database rotto
Supabase è una piattaforma open source che offre database, autenticazione e API (interfacce che permettono a un’app di comunicare con il database) pronte all’uso. È popolare tra gli sviluppatori perché accelera enormemente la costruzione di applicazioni. È anche uno degli strumenti preferiti da chi costruisce app usando l’AI come copilota di sviluppo.
Il punto critico, documentato da TechCrunch, è questo: Supabase ha un sistema di sicurezza chiamato Row Level Security (RLS) — in italiano, sicurezza a livello di riga — che va attivato e configurato manualmente. Se non lo fai, il database è accessibile a chiunque abbia l’URL dell’API. Non serve una password. Non serve un account.
Le app generate con strumenti AI o costruite in fretta spesso saltano questo passaggio. Chi ha sviluppato l’app magari non era uno specialista di sicurezza, o ha seguito un tutorial veloce, o ha usato un agente AI che ha prodotto codice funzionante ma non protetto.
Chi è davvero a rischio — e chi può stare tranquillo
Non tutti i progetti Supabase sono vulnerabili. Il rischio è concentrato su chi rientra in questi casi:
- App o portali commissionati negli ultimi 24 mesi a sviluppatori freelance o piccoli team, senza un audit di sicurezza formale
- Strumenti interni costruiti rapidamente con supporto AI (ChatGPT, Cursor, Copilot) senza revisione da parte di un senior developer
- MVP (prodotti minimi funzionanti, cioè versioni iniziali di un’app) mai sottoposti a un controllo prima del lancio in produzione
- Progetti in cui il database contiene dati personali di clienti, dipendenti o utenti — nomi, email, ordini, dati sanitari
Chi invece ha un team di sviluppo strutturato, con processi di code review (revisione del codice prima del rilascio) e test di sicurezza, ha probabilmente già questa configurazione sotto controllo.
Perché il GDPR trasforma un problema tecnico in un problema legale
Un database aperto non è solo un rischio reputazionale. Se contiene dati personali di cittadini europei, una violazione — anche involontaria — attiva gli obblighi del GDPR: notifica all’autorità garante entro 72 ore, possibile notifica agli interessati, e il rischio concreto di sanzioni.
Il tema si inserisce in un quadro più ampio che riguarda la governance dei dati nei progetti AI. Chi ha già letto la nostra analisi su cosa rischiano le aziende che usano API AI senza una governance strutturata riconosce lo schema: la velocità di adozione supera la velocità di messa in sicurezza, e il conto arriva dopo.
Lo stesso vale per chi usa strumenti AI che trattano dati aziendali: abbiamo già affrontato come disattivare la revisione umana su ChatGPT per proteggere i dati aziendali e cosa leggono davvero i contractor di OpenAI nelle conversazioni. La superficie di rischio si allarga ogni volta che si introduce un nuovo strumento senza un processo di verifica.
Quattro controlli da fare questa settimana
Se hai un progetto Supabase attivo — o sospetti di averlo tra i progetti sviluppati per te — questi sono i passi concreti:
- Mappa i progetti attivi. Chiedi al tuo team o al fornitore esterno un elenco di tutte le app e i database Supabase in uso. Spesso le aziende ne hanno più di quanti ricordino.
- Verifica lo stato del Row Level Security. Nella dashboard di Supabase, ogni tabella mostra se RLS è attivo o disattivo. Se è disattivo su tabelle con dati personali, è un problema immediato.
- Controlla i permessi delle API key. Le chiavi di accesso al database devono avere permessi minimi (principio del minimo privilegio): una chiave usata dal frontend dell’app non deve poter leggere o scrivere tutto.
- Commissiona un audit esterno se non hai competenze interne. Un’ora di revisione da parte di uno sviluppatore senior specializzato in sicurezza costa molto meno di una notifica GDPR.
L’errore tipico — e come non ripeterlo nei prossimi progetti
L’errore più comune non è tecnico: è organizzativo. Si commissiona un’app, si testa che funzioni, si va live. Nessuno chiede esplicitamente «questo database è accessibile solo a chi deve accedervi?» perché si dà per scontato che chi ha costruito l’app abbia pensato anche alla sicurezza.
Con il vibe coding — sviluppo guidato da prompt AI, dove il codice viene generato in automatico e validato principalmente sul funzionamento visibile — questa assunzione è sbagliata. L’AI produce codice che funziona, non necessariamente codice che è sicuro.
La soluzione strutturale è inserire una checklist di sicurezza come requisito di accettazione di qualsiasi progetto: nessun rilascio senza verifica dei permessi, delle API esposte e della configurazione del database. Non è una questione di sfiducia verso i fornitori: è una questione di processo.
Il tema della governance nei progetti AI è centrale nell’agenda delle aziende che stanno adottando questi strumenti. Se vuoi approfondire il quadro normativo e le implicazioni operative, il nostro cluster su regolamentazione, privacy e governance AI raccoglie le analisi più recenti. Tra queste, vale la pena leggere anche cosa cambia per la governance quando gli agenti AI operano fuori controllo: il problema di fondo è lo stesso — strumenti potenti, processi di supervisione ancora immaturi.
SHM Studio supporta le PMI nella revisione dei progetti digitali e AI-generated con un approccio orientato alla compliance. Se hai dubbi su un progetto specifico, contattaci per una valutazione iniziale.
Articoli correlati
Scopri altri articoli che approfondiscono temi simili, selezionati per offrirti una visione più completa e stimolante. Ogni contenuto è scelto con cura per arricchire la tua esperienza.
