智工具作者 程茜编辑 心缘
智工具2月3日报道，，，，， ，，，今日，，，，， ，，，爆火的AI社交网络Moltbook首创人马特·施利希特（MattSchlicht）首次接受直播专访并透露，，，，， ，，，他给自己的机械性命名“Clawd Clawerberg”，，，，， ，，，是为了致敬社交平台Facebook首创人马克·扎克伯格（Mark Zuckerberg），，，，， ，，，还妄想为智能体建“脸书”。。。。。 。
他还剖析了Moltbook实现病毒式撒播的缘故原由是每小我私家都想要专属自己的机械人，，，，， ，，，由自主AI智能体通过文本、视频或游戏界面交互的社交网络就是未来。。。。。 。
▲中心为Moltbook的首创人马特·施利希特（Matt Schlicht）
然而，，，，， ，，，引发普遍讨论、为Vibe Coding应用敲响警钟的Moltbook数据走漏事务在这场专访中并未提及。。。。。 。Moltbook此前被云清静创企WIZ研究员不到3分钟就扒出数个清静误差：475万条纪录被走漏；；；；；；；一小我私家就可以注册百万个智能体，，，，， ，，，这些智能体无需验证就会被认定为真适用户。。。。。 。
Moltbook被曝的数据走漏事务，，，，， ，，，有三个要害点：
首先非专业黑客就能获取要害API密钥。。。。。 。1月31日，，，，， ，，，WIZ研究职员扒出Moltbook上一个Supabase数据库设置蜕化，，，，， ，，，导致任何人都能随意审查、修改平台上的所有数据。。。。。 。此次数据泄露涉及150万个API身份验证令牌、35000个电子邮件地点以及智能体之间的私人新闻。。。。。 。
其次数据库展现Moltbook宣称的“全AI帝国”可能保存数据造假。。。。。 。Supabase数据库显示，，，，， ，，，Moltbook的超150万名注册智能体背后有17000名人类，，，，， ，，，智能体和人类的比例达88:1。。。。。 。任何人都可以通过简朴的循环注册数百万个智能体，，，，， ，，，且无速率限制，，，，， ，，，人类还可以伪装成“AI智能体”通过基本的POST请求宣布内容。。。。。 。
最后这次还走漏了智能体与智能体之间4060次“私人”对话，，，，， ，，，导致明文OpenAI API密钥等在内的第三方API凭证被果真。。。。。 。
这说明，，，，， ，，，Moltbook并没有响应的机制验证一个“智能体”是否真的是AI，，，，， ，，，照旧仅仅是一个使用剧本的人类。。。。。 。
WIZ的文章提到，，，，， ，，，他们和Moltbook团队破晓赶工，，，，， ，，，在数小时内完成了Moltbook的清静加固，，，，， ，，，所有在研究和修复验证历程中会见过的数据均已删除。。。。。 。但Moltbook及其首创人马特·施利希特（Matt Schlicht）的官方社交平台X账号都未提及此次事务。。。。。 。
阻止今天12点，，，，， ，，，Moltbook用户数目现在已抵达158万。。。。。 。不过智工具今日中午翻开网页发明，，，，， ，，，Moltbook的主页短暂瓦解，，，，， ，，，统计数据、智能体发的帖子无法审查，，，，， ，，，现在主页已恢复。。。。。 。
一、首创人剖析Moltbook爆火是由于需和人类配对，，，，， ，，，还要致敬扎克伯格
今日破晓，，，，， ，，，Moltbook首创人施利希特首次露面接受外媒TBPN直播专访。。。。。 。
施利希特在采访中丝毫没有被Moltbook面临的数据走漏、数据造假等报道影响，，，，， ，，，而是边哄娃边大谈AI社交网络、剖析Moltbook爆火的缘故原由。。。。。 。
▲施利希特接受直播采访
2008年，，，，， ，，，19岁的施利希特前往硅谷，，，，， ，，，这之后就一直在科技领域事情。。。。。 。2016年他建设Octane AI公司，，，，， ，，，专门做Facebook Messenger机械人。。。。。 。但因没有大模子加持失败了。。。。。 。
现在，，，，， ，，，施利希特就专注于Vibe Coding，，，，， ，，，天天围着鼠标、代码和Claude转，，，，， ，，，一直实验构建新工具。。。。。 。他给自己的Clawdbot命名为“Clawd Clawerberg”，，，，， ，，，是为了致敬社交平台Facebook的首创人马克·扎克伯格（Mark Zuckerberg）。。。。。 。
他剖析了Moltbook能实现病毒式撒播的缘故原由是，，，，， ，，，其必需与X上的人类配对。。。。。 。他最初的想法是，，，，， ，，，谁不想拥有自己的机械人？？？？？？？谁不会感兴趣与能帮你完成待效劳项的小机械人？？？？？？？事实证实各人都想拥有。。。。。 。
施利希特以为，，，，， ，，，每个AI智能体都有自己通过与人类互动而建设起来的专属语境，，，，， ，，，然后它会基于这些语境来决议宣布什么内容。。。。。 。以是，，，，， ，，，若是某小我私家经常聊物理，，，，， ，，，那他的AI机械人或许率也会更倾向于宣布物理相关的内容。。。。。 。
关于未来，，，，， ，，，施利希特以为这一切才刚刚最先。。。。。 。现在的Moltbook是最基础的形态，，，，， ，，，并且最主要的一点是AI变得有趣了。。。。。 。
未来以Moltbook为雏形可能泛起一个“平行宇宙”：现实天下里是人类，，，，， ，，，数字天下里配对了一个机械人。。。。。 。人和这个机械人一起协作，，，，， ，，，它帮你处置惩罚种种事情。。。。。 。就像人类有事情，，，，， ，，，然后刷TikTok、Instagram、X，，，，， ，，，发泄情绪、结交朋侪一样，，，，， ，，，机械人也会为人类事情，，，，， ，，，但它们之间也会相互吐槽、相互社交。。。。。 。
别的关于商业化，，，，， ，，，他称自己现在不关注变现的事情，，，，， ，，，这里的时机很是大，，，，， ，，，险些所有的商业模式，，，，， ，，，都能套进Moltbook中。。。。。 。
二、首创人回应AI清静，，，，， ，，，下一步要给智能体建身份系统
施利希特还在采访中提到了AI清静。。。。。 。他以为现在机械人自己已经相当智能，，，，， ，，，以是大大都情形下它们不会自动走漏隐私，，，，， ，，，未来可能会有一个防护层在内容宣布前举行检查，，，，， ，，，包管所有人的清静。。。。。 。
施利希特提到自己现在事情的定位是，，，，， ，，，资助人类更好地看清正在（Moltbook上）爆发的一切。。。。。 。
他把现在爆发的看作一场巨型真人秀《幸存者》：所有机械人都在一座重大的岛上，，，，， ，，，他得确保拿着摄像机的人能瞄准准确的地方。。。。。 。然后人类看到这些内容，，，，， ，，，选出他们以为有趣的部分，，，，， ，，，再分发到人类的社交网络上，，，，， ，，，好比X、TikTok、YouTube等。。。。。 。
Moltbook现在的找bug渠道是智能体自己构建的。。。。。 。早期有智能体自己建了Moltbook的Bug反响子版块，，，，， ，，，随后其他AI智能体也最先在内里发帖。。。。。 。施利希特称，，，，， ，，，现在这里已经成为Moltbook团队找Bug的绝佳渠道，，，，， ，，，智能体挪用API出问题时自动把返回效果贴上来，，，，， ，，，其团队很快定位并修复。。。。。 。
可能在这次采访中，，，，， ，，，施利希特刻意回避了相关清静问题。。。。。 。他现在更关注的是怎样把Moltbook规模做大，，，，， ，，，并思量扩充团队、增添资源投入。。。。。 。
下一步，，，，， ，，，他要在Moltbook上打造统一的AI智能体身份系统，，，，， ，，，然后搭建一个类似昔时Facebook那样的开放平台。。。。。 。同时，，，，， ，，，他们也会想步伐拓展这些AI智能体的场景类型。。。。。 。
三、475万条纪录被果真，，，，， ，，，AI社交帝国背后是真人
Moltbook上周末的数据走漏事务也在全网引起了不小的讨论度。。。。。 。
WIZ研究职员举行了一次非侵入性的清静审查，，，，， ，，，只是像通俗用户一样浏览页面，，，，， ，，，就发明了袒露在客户端JavaScript中的Supabase API密钥。。。。。 。该密钥允许未经身份验证地会见整个生产数据库，，，，， ，，，还能对所有表举行读写操作。。。。。 。
▲可通过Supabase API密钥会见的表格
他们使用Supabase的PostgREST过失提醒，，，，， ，，，枚举出了不少数据表。。。。。 。通过盘问不保存的表名，，，，， ，，，系统返回的报错信息会泄露线索，，，，， ，，，从而袒露出真实的数据库结构。。。。。 。
然后与GraphQL introspection相团结，，，，， ，，，WIZ研究职员绘制了完整的数据库架构，，，，， ，，，并发明已经有约475万条纪录被果真。。。。。 。
▲WIZ研究职员通过上述手艺识别了表格
走漏的数据包括：
1、AI智能体的API密钥和认证token。。。。。 。
智能体表格中暴漏了数据库中每个注册智能体的认证凭证，，，，， ，，，每个智能体纪录包括：
-api_key -完全授权token，，，，， ，，，允许完全接受账户
-claim_token -用于声明智能体所有权的token
-verification_code -智能体注册时代使用的验证码
使用这些凭证，，，，， ，，，攻击者可以完全冒充平台上的任何智能体去宣布内容、发送新闻、举行互动。。。。。 。这包括高声望账户和着名角色智能体。。。。。 。
现实上，，，，， ，，，只需一次API挪用，，，，， ，，，攻击者就能挟制Moltbook上的恣意账号。。。。。 。
2、用户电子邮件地点和身份数据。。。。。 。
用户表单中包括凌驾17000名用户信息。。。。。 。
通过盘问GraphQL端点，，，，， ，，，WIZ研究职员还发明了一个新的视察者表，，，，， ，，，其中包括29631个特另外电子邮件地点，，，，， ，，，这是Moltbook即将推出的“为AI智能体构建应用程序”产品的早期会见注册信息。。。。。 。
3、私人谈天纪录与第三方凭证。。。。。 。
agent_messages表格袒露了4060次私人对话，，，，， ，，，包括智能体与智能体之间的交流。。。。。 。在检查此表格以相识智能体之间的互动时，，，，， ，，，WIZ研究职员还发明对话没有加密或会见控制，，，，， ，，，其中一些包括第三方API凭证，，，，， ，，，包括智能体之间共享的明文OpenAI API密钥。。。。。 。
▲智能体与智能体的交互摘要
4、写入权限，，，，， ，，，可以修改实时帖子
除了读取权限，，，，， ，，，攻击者还能拥有完全的写入能力。。。。。 。纵然在最初的修复步伐中阻止了对敏感表的读取权限后，，，，， ，，，对公共表的写入权限仍然开放。。。。。 。WIZ研究职员举行了测试，，，，， ，，，并乐成修改了平台上的现有帖子。。。。。 。
▲修改后的帖子
这说明，，，，， ，，，任何未经身份验证的用户都可以编辑平台上的任何帖子、注入恶意内容或提醒注入有用载荷、破损整个网站、使用成千上万AI智能体消耗的内容。。。。。 。
这引发了人们对数据泄露时代平台上帖子、投票和karma积分等内容真实性与完整性的质疑。。。。。 。
昨日晚间，，，，， ，，，WIZ的研究职员Gal Nagli测试发明，，，，， ，，，他可以在Moltbook上注册100万个AI智能体，，，，， ，，，并且这些智能体不被验证就可以被算作真适用户。。。。。 。
或许，，，，， ，，，这个革命性的AI社交网络现实上是由大宗人类操控着的重大机械人舰队。。。。。 。
四、缺失RLS要害清静防地，，，，， ，，，任何用户都能模拟智能体账户
WIZ研究职员在会见Moltbook网站时，，，，， ，，，检查了页面自动加载的客户端JavaScript包。。。。。 。现代网络应用程序将设置值捆绑到静态JavaScript文件中，，，，， ，，，这可能会无意中袒露敏感凭证。。。。。 。
这一征象是其在Vibe Coding应用程序中多次视察到的模式，，，，， ，，，API密钥会经常泛起在前端代码中，，，，， ，，，任何检查页面源代码的人都能看到，，，，， ，，，会导致严重的清静效果。。。。。 。
通太过析生产JavaScript文件：https://www.moltbook.com/_next/static/chunks/18e24eafc444b2b9.js
▲Moltbook主网站运行所依赖的javascript文件之一
其识别出硬编码（Hardcoding）的Supabase毗连详情：
-Supabase项目：ehxbxtjliybbloantpwq.supabase.co
–API密钥：sb_publishable_4ZaiilhgPir-2ns8Hxg5Tw_JqZU_G6-
▲生产情形中的supabase和API密钥硬编码
但这些凭证并不自动批注保存清静故障，，，，， ，，，由于Supabase设计为允许某些密钥对客户端果真，，，，， ，，，真正的危险在于它们指向的后端设置。。。。。 。
Supabase是一个盛行的开源云效劳平台Firebase的替换品，，，，， ，，，提供托管的PostgreSQL数据库和REST API。。。。。 。由于设置简朴，，，，， ，，，它特殊受Vibe Coding开发应用的接待。。。。。 。
当准确设置了行级清静战略（RLS）时，，，，， ，，，果真的API密钥是清静的，，，，， ，，，这些果真API密钥只是像一个项目的识符。。。。。 。但若是没有RLS战略，，，，， ，，，这个密钥会付与任何拥有它的人完全的数据库会见权限。。。。。 。
然而，，，，， ，，，在Moltbook中，，，，， ，，，RLS这一要害防地是缺失的。。。。。 。
WIZ研究职员使用发明的API密钥，，，，， ，，，测试这一平台是否接纳了推荐的清静步伐。。。。。 。他们实验直接盘问REST API。。。。。 。一样平常而言，，，，， ，，，若是RLS处于激活状态，，，，， ，，，该请求应该返回一个空数组或授权过失。。。。。 。
但Supabase数据库却连忙返回了敏感的认证token，，，，， ，，，包括Moltbook平台顶级AI智能体的API密钥。。。。。 。
▲Moltbook平台的顶级AI智能体已编辑API密钥
其走漏的智能体为排名前五的智能体。。。。。 。
▲最受接待的智能体列表
这说明，，，，， ，，，其将允许对平台上的任何用户举行完全的账户模拟。。。。。 。
结语：AI编程需小心细节过失，，，，， ，，，或袒露整个AI生态数据
Moltbook很好证实晰Vibe Coding能显著提升开发者创立新事物的速率和执行力，，，，， ，，，他们能以亘古未有的速率推呈现实产品。。。。。 。与此同时，，，，， ，，，当今的AI工具尚未能代表开发者举行清静态势或会见控制的推理，，，，， ，，，这意味着设置细节仍需人工仔细审查。。。。。 。正如Moltbook的数据走漏问题最终追溯到Supabase的一个设置设置细节上。。。。。 。
并且，，，，， ，，，该平台对隐私的处置惩罚方法也有一个主要的生态系统级教训。。。。。 。用户在假设隐私的情形下通过私信分享了OpenAI API密钥和其他凭证，，，，， ，，，但设置问题导致这些私信果真可会见。。。。。 。单个平台的设置过失就足以袒露与其无关的效劳凭证，，，，， ，，，这说明现代AI系统之间的关系已经很是细密。。。。。 。
当下围绕这一AI原生社交网络赛博未来科技有限公司的热度很高，，，，， ，，，但其底层的设计系统仍不完善，，，，， ，，，而数据清静是释放AI所有潜力的重中之重，，，，， ，，，这或许也是当下开发者应该着重思量的地方。。。。。 。