Vibe Coding หรือการสั่ง AI ให้เขียนแอปแทน กำลังทำให้คนที่ไม่เคยเขียนโค้ดเปิดแอปของตัวเองได้ในสุดสัปดาห์เดียว ลองนึกภาพเจ้าของคอร์สออนไลน์ที่ให้ AI สร้างระบบสมัครสมาชิก เก็บชื่อ เบอร์โทร และสลิปโอนเงินของนักเรียนไว้บน Supabase รายงานล่าสุดพบว่าฐานข้อมูลแบบนี้กว่า 16,000 ชุดเปิดให้ใครก็เข้าไปอ่านได้
สรุปสั้น: UpGuard พบฐานข้อมูล Supabase กว่า 16,000 ชุดเปิดโล่ง กว่า 60% สร้างด้วย AI แบบ Vibe Coding และกว่าครึ่งมีข้อมูลส่วนบุคคล รหัสผ่าน หรือโทเคน สาเหตุคือไม่เปิด row-level security สตาร์ทอัพและโซโลพรีเนอร์ไทยที่ให้ AI เขียนแอปยังต้องรับผิดชอบมาตรการรักษาความปลอดภัยตาม PDPA มาตรา 37(1) เหมือนเขียนโค้ดเอง
ฐานข้อมูล Supabase เปิดโล่งจาก Vibe Coding คืออะไร เกิดอะไรขึ้น
ฐานข้อมูล Supabase เปิดโล่งคือกรณีที่ UpGuard บริษัทด้านความปลอดภัยพบฐานข้อมูลกว่า 16,000 ชุดที่ใครก็อ่านข้อมูลข้างในได้ โดยกว่า 60% สร้างด้วย AI หรือที่เรียกว่า Vibe Coding BleepingComputer รายงานผลการตรวจนี้เมื่อวันที่ 28 กันยายน 2026
ข้อมูลที่หลุดไม่ใช่ข้อมูลทดสอบ ตามรายงาน กว่าครึ่งของฐานข้อมูลเหล่านี้มีข้อมูลส่วนบุคคล รหัสผ่าน และโทเคนสำหรับเข้าระบบ บางส่วนมีข้อมูลบัตรด้วย
ตัวอย่างที่รายงานยกมามีสองกรณีในเอเชีย กรณีแรกคือแพลตฟอร์มครีเอเตอร์ในอินเดียที่รั่วภาพบัตรประชาชนและข้อความส่วนตัวกว่า 100,000 ข้อความ กรณีที่สองคือบริการส่ง OTP ในฟิลิปปินส์ที่รั่ว SMS 100,000 ข้อความ ต้นเหตุร่วมกันคือไม่เปิด row-level security
| ประเด็น | ข้อเท็จจริงตามข่าว |
|---|---|
| ผู้ตรวจพบ | UpGuard (รายงานผ่าน BleepingComputer) |
| จำนวนฐานข้อมูลที่เปิดโล่ง | กว่า 16,000 ชุด บน Supabase |
| สัดส่วนที่สร้างด้วย AI | กว่า 60% |
| ประเภทข้อมูล | กว่าครึ่งมีข้อมูลส่วนบุคคล รหัสผ่าน โทเคน บางส่วนมีข้อมูลบัตร |
| ตัวอย่าง | แพลตฟอร์มครีเอเตอร์อินเดีย (บัตรประชาชน + ข้อความกว่า 100,000), บริการ OTP ฟิลิปปินส์ (SMS 100,000) |
| สาเหตุ | ไม่เปิด row-level security |
| วันที่รายงาน | 28 กันยายน 2026 |
Vibe Coding กระทบธุรกิจไทยอย่างไร
Vibe Coding กระทบธุรกิจไทยเพราะคนที่ใช้มากที่สุดคือกลุ่มที่ไม่มีทีมความปลอดภัย ทั้งสตาร์ทอัพระยะแรก โซโลพรีเนอร์ และฝ่ายธุรกิจในองค์กรที่ทำเครื่องมือใช้เอง ส่วนนี้เป็นการวิเคราะห์ของผู้เขียนจากข้อเท็จจริงในข่าว
สตาร์ทอัพและโซโลพรีเนอร์ที่ให้ AI สร้างแอป
สตาร์ทอัพและโซโลพรีเนอร์ไทยที่ใช้ Vibe Coding เสี่ยงที่สุด เพราะแอปทำงานได้ทุกปุ่ม หน้าตาดี ลูกค้าสมัครได้จริง แต่ไม่มีใครตรวจว่าฐานข้อมูลเปิดให้คนนอกอ่านหรือไม่ AI ทำตามสิ่งที่สั่ง และคนส่วนใหญ่ไม่ได้สั่งให้ล็อกข้อมูล
ตัวอย่างสมมติ: ร้านรับทำเล็บให้ AI สร้างระบบจองคิว เก็บชื่อ เบอร์ LINE และรูปเล็บของลูกค้า ถ้าไม่เปิด row-level security คนที่รู้ที่อยู่ฐานข้อมูลจะดึงรายชื่อลูกค้าทั้งหมดไปได้ในไม่กี่นาที โดยเจ้าของร้านไม่รู้ตัวเลย
PDPA มาตรา 37(1) ไม่สนใจว่าใครเขียนโค้ด
PDPA มาตรา 37(1) กำหนดให้ผู้ควบคุมข้อมูลจัดมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม หน้าที่นี้อยู่กับเจ้าของแอป ไม่ได้ย้ายไปอยู่กับ AI หรือผู้ให้บริการ Supabase
ผู้เขียนมองว่าการไม่เปิด row-level security เป็นตัวอย่างที่ชัดมากของมาตรการที่ขาดหายไป เพราะเป็นการตั้งค่าพื้นฐาน ไม่ใช่เทคนิคขั้นสูง ถ้าข้อมูลรั่ว ยังต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตามมาตรา 37(4) และถ้ามีข้อมูลบัตรประชาชนหรือข้อมูลสุขภาพ ความเสียหายต่อเจ้าของข้อมูลจะหนักขึ้นมาก อ่านประเด็น PDPA เพิ่มเติมได้ที่ หมวด PDPA & Privacy
ฝ่ายธุรกิจในองค์กรที่สร้างเครื่องมือใช้เอง
องค์กรขนาดกลางและใหญ่ก็หนีไม่พ้น เพราะพนักงานฝ่ายขาย HR หรือการตลาดเริ่มใช้ Vibe Coding ทำแบบฟอร์ม ระบบติดตามลูกค้า หรือแดชบอร์ดใช้เองโดยไม่ผ่านฝ่ายไอที
แอปเหล่านี้มักเก็บข้อมูลลูกค้าหรือพนักงานจริง แต่ไม่อยู่ในทะเบียนระบบขององค์กร ผู้เขียนมองว่านี่คือ shadow IT รุ่นใหม่ที่ควรมีนโยบายรองรับ ติดตามเรื่องธรรมาภิบาล AI ได้ที่ หมวด AI & Governance
ลูกค้าที่ใช้แอปจากผู้ให้บริการรายเล็ก
ลูกค้าทั่วไปแยกไม่ออกว่าแอปไหนสร้างด้วย AI และแอปไหนผ่านการตรวจความปลอดภัย ตัวอย่างบริการ OTP ในฟิลิปปินส์แสดงว่าแม้แต่ข้อความยืนยันตัวตนก็รั่วได้ สิ่งที่ลูกค้าทำได้คือให้ข้อมูลเท่าที่จำเป็น โดยเฉพาะภาพบัตรประชาชน
ถ้าไม่ตรวจแอปที่สร้างด้วย Vibe Coding จะเสี่ยงอะไร
ถ้าไม่ตรวจแอปที่สร้างด้วย Vibe Coding ข้อมูลลูกค้าอาจถูกดึงออกไปแล้วโดยที่เจ้าของไม่รู้ จนมีคนมาแจ้งหรือข้อมูลไปโผล่ที่อื่น เมื่อถึงวันนั้นธุรกิจต้องรับทั้งหน้าที่แจ้งเหตุตาม PDPA ความเสี่ยงถูกร้องเรียน และความเสียหายต่อความเชื่อใจของลูกค้าที่ธุรกิจเล็กฟื้นได้ยาก
สตาร์ทอัพไทยที่ใช้ Vibe Coding ควรทำอะไรตอนนี้
สตาร์ทอัพไทยที่ใช้ Vibe Coding ควรเพิ่มการตรวจความปลอดภัยสั้น ๆ ก่อนเปิดแอปทุกครั้ง ไม่ต้องเลิกใช้ AI แค่ต้องไม่ข้ามขั้นตอนที่ AI ไม่ได้ทำให้
- 1. เปิด row-level security ทุกตารางที่มีข้อมูลผู้ใช้ เข้าหน้าตั้งค่าของ Supabase แล้วเช็กว่าไม่มีตารางไหนเปิดโล่ง
- 2. ทดสอบเข้าฐานข้อมูลโดยไม่ล็อกอิน ลองดึงข้อมูลแบบคนนอก ถ้ายังเห็นข้อมูลของคนอื่น แปลว่ายังไม่ปลอดภัย
- 3. สั่ง AI ให้ตรวจความปลอดภัยแยกอีกรอบ ให้ AI หรือคนที่เข้าใจระบบทบทวนเรื่องสิทธิ์เข้าถึงและการเก็บรหัสผ่านโดยเฉพาะ
- 4. ไม่เก็บข้อมูลที่ไม่จำเป็น ถ้าไม่ต้องใช้ภาพบัตรประชาชนหรือข้อมูลบัตร อย่าเก็บ ข้อมูลที่ไม่มีอยู่ ก็รั่วไม่ได้
- 5. เตรียมแผนแจ้งเหตุ 72 ชั่วโมง รู้ล่วงหน้าว่าใครตัดสินใจ แจ้ง สคส. อย่างไร และแจ้งลูกค้าด้วยข้อความแบบไหน
ถ้าต้องการคนช่วยวางแนวทางใช้ AI สร้างระบบอย่างปลอดภัยและสอดคล้อง PDPA ดูรายละเอียดได้ที่ บริการ AI Governance และ PDPA ของ Kooru
มุมมองผู้เชี่ยวชาญ
ผมไม่ได้ต่อต้าน Vibe Coding ผมใช้ AI ช่วยทำงานทุกวัน แต่ข่าวนี้ยืนยันสิ่งที่ผมกังวลมาตลอด AI สร้างแอปให้คุณได้ในหนึ่งคืน แต่ความรับผิดตาม PDPA ยังเป็นของคุณทุกคืน การเปิด row-level security ใช้เวลาไม่กี่นาที ส่วนการอธิบายให้ลูกค้าหนึ่งแสนคนเข้าใจว่าทำไมข้อความส่วนตัวของเขาหลุด ใช้เวลาทั้งปี
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
คำถามที่พบบ่อยเกี่ยวกับ Vibe Coding
Vibe Coding คืออะไร
Vibe Coding คือการสั่ง AI เป็นภาษาธรรมดาให้เขียนแอปหรือเว็บทั้งระบบ โดยผู้สั่งไม่ต้องเขียนโค้ดเอง ข้อดีคือเร็ว ข้อเสียคือผู้สั่งอาจไม่รู้ว่า AI ตั้งค่าความปลอดภัยไว้อย่างไร
ทำไมฐานข้อมูล Supabase ถึงเปิดโล่ง
ตามรายงานของ UpGuard ที่ BleepingComputer เผยแพร่ ต้นเหตุคือไม่เปิด row-level security ทำให้ใครก็อ่านข้อมูลในตารางได้ ปัญหาอยู่ที่การตั้งค่าของผู้สร้างแอป
ใช้ AI เขียนแอปแล้วข้อมูลรั่ว ใครต้องรับผิดตาม PDPA
เจ้าของแอปซึ่งเป็นผู้ควบคุมข้อมูลยังมีหน้าที่จัดมาตรการรักษาความมั่นคงปลอดภัยตาม PDPA มาตรา 37(1) และแจ้งเหตุตามมาตรา 37(4) การใช้ AI เขียนโค้ดไม่ได้ทำให้หน้าที่นี้หายไป
Row-level security คืออะไร ต้องเปิดทุกตารางไหม
Row-level security คือกติกาที่ให้ผู้ใช้แต่ละคนเห็นเฉพาะข้อมูลของตัวเอง ตารางที่เก็บข้อมูลผู้ใช้หรือข้อมูลส่วนบุคคลควรเปิดทั้งหมด แล้วทดสอบด้วยการเข้าแบบคนนอกทุกครั้งก่อนเปิดแอป
แหล่งอ้างอิง
- BleepingComputer (รายงานของ UpGuard) — (อ่านต้นฉบับ) — อ่านที่ BleepingComputer
อ่านหลักการคัดเลือกและตรวจสอบข่าวของเราได้ที่ นโยบายบรรณาธิการ
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
