Vibe coding et Supabase : des applications générées par IA exposent des données

TL;DR.

Des entreprises clientes de Supabase, un service de base de données très utilisé par les développeurs, exposent publiquement sur le web de grandes quantités de données personnelles. TechCrunch l'a révélé le 25 septembre 2026. En cause : des applications générées par IA, ou « vibe-codées », mises en ligne sans configuration ni sécurisation suffisantes. Si vos équipes métier créent leurs propres outils avec l'IA, ce cas est un signal d'alerte concret.

Le problème ne vient pas d'une faille de l'IA elle-même. Il tient à la manière dont ces applications sont assemblées puis déployées. Le nombre d'entreprises concernées et le volume exact des données exposées ne sont pas précisés. TechCrunch parle de « reams » de données, c'est-à-dire de quantités importantes d'informations personnelles accessibles publiquement. Supabase fournit une base de données et des services associés (authentification, stockage de fichiers, accès via une API) sans gestion de serveurs. Cette simplicité en fait une brique courante des applications créées rapidement avec des outils d'IA.

Certaines entreprises clientes de Supabase, un service de base de données très utilisé par les développeurs, exposent publiquement sur le web de grandes quantités de données personnelles. C'est ce que rapporte TechCrunch dans un article publié le 25 septembre 2026. En cause, selon le média : des applications générées par IA, ou « vibe-codées », mises en ligne sans configuration ni sécurisation suffisantes. Pour les équipes métier qui créent désormais leurs propres outils grâce à l'IA, ce cas est un signal d'alerte concret.

Ce que rapporte TechCrunch

Selon TechCrunch, les découvertes montrent que des applications construites avec l'aide de l'IA peuvent laisser fuiter et exposer les données de leurs utilisateurs lorsqu'elles ne sont pas correctement configurées ou sécurisées. Le problème ne vient pas d'une faille dans l'IA elle-même, mais de la manière dont ces applications sont assemblées puis déployées.

Le nombre d'entreprises concernées et le volume exact des données exposées ne sont pas précisés dans le résumé de l'article. Le média parle en revanche de « reams » de données, c'est-à-dire de quantités importantes d'informations personnelles accessibles publiquement.

Qu'est-ce que Supabase et le « vibe coding » ?

Supabase, une base de données prête à l'emploi

Supabase est une plateforme qui fournit aux développeurs une base de données et les services associés (authentification, stockage de fichiers, accès via une API) sans avoir à gérer de serveurs. Sa simplicité en a fait une brique très courante dans les applications créées rapidement, notamment avec des outils d'IA.

Le vibe coding, créer une application en décrivant ce que l'on veut

Le « vibe coding » désigne une pratique où l'on génère une application en décrivant ses besoins en langage naturel à un assistant IA, qui écrit le code à votre place. La personne qui pilote l'outil n'a pas forcément besoin de comprendre le code produit. C'est ce qui rend l'approche attractive pour les profils non techniques, et c'est aussi ce qui la rend risquée : les réglages de sécurité, invisibles à l'œil nu, peuvent être omis sans que personne ne s'en aperçoive.

Pourquoi ces fuites se produisent

Une application qui « fonctionne » n'est pas pour autant une application sécurisée. Un formulaire qui enregistre correctement des données, un tableau de bord qui s'affiche bien : tout cela peut coexister avec une base de données accessible à n'importe qui disposant de la bonne adresse.

Plusieurs facteurs expliquent ce type de situation :

• Des paramètres de sécurité non activés : les règles qui limitent qui peut lire ou modifier les données doivent être définies explicitement. Si elles sont absentes, les données peuvent rester ouvertes.
• Un code que personne ne relit : quand l'application est générée par IA et mise en ligne directement, aucune revue humaine ne vient vérifier les points sensibles.
• Une confusion entre prototype et production : un outil pensé comme un test peut finir par recevoir de vraies données clients.

Ce que ça change pour vous

Les outils d'IA permettent aujourd'hui à des équipes marketing, commerciales ou RH de créer leurs propres applications internes sans passer par le service informatique. C'est un gain d'autonomie réel, mais il déplace une partie de la responsabilité de la sécurité vers des personnes qui n'y sont pas formées. Quelques réflexes simples limitent les risques :

• Recensez les applications créées par IA dans vos équipes, en particulier celles qui manipulent des données clients, candidats ou salariés.
• Impliquez l'IT ou la sécurité avant toute mise en ligne d'un outil qui stocke des données personnelles, même s'il semble modeste.
• Demandez explicitement à l'assistant IA de vérifier les règles d'accès aux données, puis faites valider ce point par une personne compétente.
• Utilisez des données fictives tant que l'application n'a pas été vérifiée.
• Gardez en tête la dimension réglementaire : en Europe, l'exposition de données personnelles relève du RGPD, quelle que soit la manière dont l'application a été construite.

Une question de gouvernance plus que de technologie

Le cas rapporté par TechCrunch ne remet pas en cause l'intérêt des outils de développement assistés par IA ni de plateformes comme Supabase. Il rappelle simplement que la facilité de création ne dispense pas des bonnes pratiques. Plus il devient simple de produire une application, plus il devient important de savoir qui la déploie, avec quelles données et sous quel contrôle.

Pour les entreprises, l'enjeu est donc moins de freiner ces usages que de les encadrer : définir des règles claires sur ce qui peut être mis en ligne, par qui, et après quelles vérifications. La question qui se pose à chaque organisation est la suivante : savez-vous aujourd'hui combien d'applications générées par IA tournent dans vos équipes, et quelles données elles contiennent ?

Questions fréquentes

Qu'est-ce que le vibe coding ?

Le vibe coding consiste à générer une application en décrivant ses besoins en langage naturel à un assistant IA, qui écrit le code à votre place. La personne qui pilote l'outil n'a pas forcément besoin de comprendre le code produit. C'est ce qui rend cette approche attractive pour les profils non techniques.

Qu'est-ce que Supabase ?

Supabase est une plateforme qui fournit aux développeurs une base de données et des services associés : authentification, stockage de fichiers et accès via une API. Elle évite d'avoir à gérer des serveurs. Sa simplicité en a fait une brique très courante dans les applications créées rapidement, notamment avec des outils d'IA.

Pourquoi des applications générées par IA exposent-elles des données personnelles ?

Ces applications laissent fuiter les données de leurs utilisateurs lorsqu'elles ne sont pas correctement configurées ou sécurisées. Le problème ne vient pas d'une faille dans l'IA elle-même. Il tient à la manière dont les applications sont assemblées puis déployées.

Combien d'entreprises et de données sont concernées par l'exposition de données sur Supabase ?

Le nombre d'entreprises concernées et le volume exact des données exposées n'ont pas été précisés. TechCrunch évoque des « reams » de données, c'est-à-dire des quantités importantes d'informations personnelles accessibles publiquement sur le web.

Qui a révélé l'exposition de données chez des clients de Supabase ?

C'est le média TechCrunch qui a rapporté ces découvertes, dans un article publié le 25 septembre 2026. Il y décrit des entreprises clientes de Supabase dont les applications, souvent vibe-codées, exposent publiquement des données personnelles.