מסד הנתונים של Moltbook פתוח במלואו: 1.5 מיליון מפתחות API של סוכנים, 35,000 כתובות דוא"ל

Moltbook is a Reddit-style social network built so that only AI agents can post. Its founder, Matt Schlicht, launched it on 28 January 2026 and said publicly on X that he had not written a single line of its code: "I just had a vision for the technical architecture, and AI made it a reality," as Wiz quotes him. Three days later, on 31 January 2026, 404 Media reported that anyone could take control of any AI agent on the site. Wiz, which had found the same misconfiguration independently, published the technical account on 2 February: a Supabase API key hard-coded into Moltbook's client-side JavaScript pointed at a production database with no Row Level Security, and an unauthenticated request to the agents table returned live authentication tokens for the platform's agents, including its best-known ones. Wiz counted 1.5 million API tokens, 35,000 email addresses and 4,060 private agent-to-agent conversations readable that way, and confirmed it could also rewrite live posts. The archive files the episode as a critical-severity credential incident with a day-precision date of 31 January 2026, a confidence grade of A and recorded real harm, alongside the rest of its agent-infrastructure records in the Orca AI Incident Archive.

המפתח מעולם לא היה הסוד

Supabase is a hosted Postgres service with a REST API that Wiz describes as popular with vibe-coded applications because it is easy to set up. Its publishable key is designed to sit in client-side code: it identifies the project, and the access control is supposed to come from Row Level Security policies on the tables behind it. Wiz's Gal Nagli states the point explicitly in the write-up: exposing the key "does not automatically indicate a security failure," and when RLS is configured correctly "the public API key is safe to expose - it acts like a project identifier." In Moltbook's implementation, Wiz writes, "this critical line of defense was missing."

המנגנון היה חבילה. לפי Wiz, קובץ ה-JavaScript הפרודקשני בכתובת moltbook.com/_next/static/chunks/18e24eafc444b2b9.js הכיל גם את כתובת פרויקט Supabase, ehxbxtjliybbloantpwq.supabase.co, וגם את המפתח, sb_publishable_4ZaiilhgPir-2ns8Hxg5Tw_JqZU_G6-. לאחר מכן Wiz שלחה בקשה לטבלת agents בבקשה לקבל שלושה שמות ומפתחות API, שאילתה שהייתה אמורה להחזיר מערך ריק או שגיאת הרשאה. במקום זאת היא החזירה שורות, כולל אסימוני האימות של הסוכנים הפופולריים ביותר בפלטפורמה. משם Wiz מיפתה את הסכימה באמצעות הודעות שגיאה של PostgREST ואינטרוספקציה של GraphQL, ומנתה כ-4.75 מיליון רשומות חשופות.

סיכום הארכיון אומר ש-Moltbook "מעולם לא הפעיל" אבטחת ברמת שורה (Row Level Security), והמקורות רופפים יותר מכך. אף אחד מהם לא מציג היסטוריית תצורה, ולכן מה שמתועד הוא ש-RLS לא היה בתוקף במהלך הסקירה: Wiz מצאה שהטבלאות פתוחות, ו-Implicator.ai, המדווחת מפי המגלה, כותבת ש-Moltbook "מעולם לא הפעיל RLS. או אם כן, לא הוגדרו מדיניות." האם ההגדרה מעולם לא הופעלה או שהופעלה בלי מדיניות כלשהי אינה מבוססת באף אחד מהדיווחים, והתוצאה המעשית זהה.

מה היה למעשה בטבלאות

Wiz מפרטת את הטבלאות ואת תוכנן. טבלת ה-agents הכילה, בכל שורה, את ה-api_key שאימת את הסוכן, claim_token ששימש לתביעת הבעלות עליו, verification_code שהונפק בעת ההרשמה, ואת מוני הקארמה והעוקבים של הסוכן. מדובר בערכת השתלטות מלאה על חשבון ולא בדליפת נתונים: באמצעות אחד מהמפתחות הללו, בקשה יכולה לפרסם, לשלוח הודעות ולפעול בדרכים אחרות כאותו סוכן, ו-Wiz מציינת שזה כלל חשבונות בעלי קארמה גבוהה וסוכני פרסונה מוכרים.

טבלת owners הכילה מידע אישי של יותר מ-17,000 משתמשים, כולל כתובות דוא"ל וכן ידית ה-X ושם התצוגה שמאחורי כל סוכן. טבלה בשם observers, שאותה מצאה Wiz מאוחר יותר דרך נקודת הקצה GraphQL, הכילה 29,631 כתובות דוא"ל נוספות השייכות להרשמות לגישה מוקדמת למוצר המתוכנן של Moltbook, "Build Apps for AI Agents". טבלת agent_messages הכילה 4,060 שיחות הודעות ישירות פרטיות בין סוכנים, שנשמרו ללא הצפנה או בקרות גישה, ו-Wiz מדווחת שחלק מהן הכילו פרטי גישה של צדדים שלישיים בטקסט גלוי, כולל מפתחות API של OpenAI שסוכנים שיתפו זה עם זה.

היחס בין סוכנים לאנשים הוא החלק שערער על הסיפור הציבורי של הפלטפורמה. Wiz מדווחת על 1.5 מיליון סוכנים רשומים לעומת כ-17,000 בעלים אנושיים, כ-88 סוכנים לאדם, ומייחסת את הפער להיעדר הגבלת קצב או אימות זהות: כל אחד יכול היה לרשום סוכנים בלולאה, ואדם יכול היה לפרסם כ"סוכן" באמצעות בקשת POST בסיסית. המסקנה של Wiz בוטה — "הרשת החברתית המהפכנית של AI הייתה ברובה בני אדם שמפעילים ציים של בוטים."

ספירת כתובות האימייל לא מסתדרת בצורה נקייה, ו-Wiz לא מסבירה מדוע. נתון הכותרת שלה הוא 35,000 כתובות אימייל; ספירות ברמת הטבלאות שלה עצמה הן 17,000 ומעלה כתובות אימייל של בעלים ו-29,631 כתובות אימייל של משקיפים, שסכומן מגיע לכ-46,600. שני המספרים הם של Wiz, וכתבה זו לא ביססה כיצד נגזר ה-35,000 - אם באמצעות הסרת כפילויות בין שתי הטבלאות או מצילום מצב שנלקח לפני שהתגלתה טבלת המשקיפים.

חצי הכתיבה של החשיפה

קריאת הנתונים לא הייתה כל הממצא. Wiz מדווחת שגם לאחר שסבב התיקונים הראשון חסם גישה לקריאה לטבלאות הרגישות, גישת הכתיבה לטבלאות הציבוריות נותרה פתוחה. היא בחנה זאת על ידי שליחת בקשת PATCH לפוסט חי והחלפת הכותרת והגוף שלו במחרוזת "@galnagli - responsible disclosure test", ואז אישרה שהעריכה נראית באתר. לאחר שהוטלה הגבלת הכתיבה, Wiz לא יכלה עוד להחזיר את פוסט הבדיקה שלה למצבו הקודם; צוות Moltbook מחק את התוכן כמה שעות לאחר מכן, כותבת Wiz, והודה לחוקרים על הדיווח.

החשש המוצהר של Wiz אינו השחתה לשמה. נתיב כתיבה לא מאומת אל תוך פוסטים משמעו שכל אחד יכול להזריק מטעני prompt injection לתוכן שסוכנים אחרים קוראים, ו-Wiz מעלה את שלמות הפוסטים, ההצבעות והקארמה של הפלטפורמה במהלך חלון החשיפה כשאלה פתוחה ולא כעניין מדוד. אף מקור שנקרא עבור כתבה זו לא מכמת כמה תוכן שונה או בידי מי.

שלוש שעות ושתים עשרה דקות, ארבעה תיקונים נפרדים

ציר הזמן של החשיפה של Wiz מתחיל ב-21:48 UTC ב-31 בינואר 2026, עם פנייה ראשונית למתחזק Moltbook בהודעת ישירה ב-X, ומסתיים ב-01:00 UTC ב-1 בפברואר, כאשר האחרונה מהטבלאות החשופות אובטחה. לאחר הפנייה הראשונית הוא מתעד שבעה שלבים נוספים: הדיווח ב-22:06, תיקון ראשון ב-23:29 המכסה את הטבלאות agents, owners ו-site_admins, תיקון שני ב-00:13 המכסה את agent_messages, notifications, votes ו-follows, גילוי נתיב הכתיבה ב-00:31, התיקון השלישי שסוגר אותו ב-00:44, גילוי הטבלאות observers, identity_verifications ו-developer_apps ב-00:50, והתיקון הסופי ב-01:00.

That timeline is the strongest argument against the simplest version of this story. Implicator.ai describes the fix in two SQL statements - it writes that "the fix required two SQL statements. They didn't exist," and the archive's summary carries the same "two lines of SQL" framing. The core repair for the read exposure probably was that small: enable RLS and add policies on the tables. But Wiz's own record shows four fixes across three hours, a second and separate write-access gap that the read fix did not close, and three further tables - including the 29,631 observer addresses - that surfaced only after the first two rounds. Wiz's closing lesson is that it "worked with the team through multiple rounds of remediation, with each iteration surfacing additional exposed surfaces." The two-line version describes the configuration change, not the remediation.

שני גילויים, והבדל ברשומה

The find is usually credited to Jamieson O'Reilly, who founded the Australian security firm Dvuln, and who demonstrated the takeover to 404 Media; Implicator.ai reports that 404 Media verified the capability by updating O'Reilly's own Moltbook account with his permission. Wiz's post is by Gal Nagli and carries a note at the end crediting O'Reilly: "Security researcher Jameson O'Reilly also discovered the underlying Supabase misconfiguration, which has been reported by 404 Media." The note goes on to say that Wiz's post shares an independent discovery of the same issue.

The archive's summary describes both as Wiz researchers. Wiz's own post does not: it names Nagli as its author and describes O'Reilly as an independent researcher whose find 404 Media reported, and Implicator.ai places O'Reilly at Dvuln. The spelling is also unsettled across sources - Wiz writes "Jameson", while Dvuln's own site lists its founder as "Jamieson" - and this piece has used the spelling that site uses. What is not in dispute is that there were two independent discoveries of the same misconfiguration within days.

The account of the response differs by source, and the difference is worth reporting rather than resolving. On O'Reilly's account, relayed by Implicator.ai, he approached Schlicht directly and offered to help patch the flaw; the reply was: "I'm just going to give everything to AI. So send me whatever you have." A full day then passed without follow-up, according to that account, and Schlicht did not respond to 404 Media's request for comment. Wiz, contacting the maintainer separately, records its report filed at 22:06 UTC and the last of four fixes at 01:00 UTC, three hours and twelve minutes after first contact. The two timelines run on different channels and neither source says whether one prompted the other; both can be accurate.

מה שהתיעוד מבסס, ומה שהוא אינו מבסס

העובדות המבוססות הן התצורה, מחלקות הנתונים, שתי התגליות הבלתי־תלויות, רצף התיקון ויחס האדם־לסוכן בפלטפורמה. כל פריט ברשימה זו מגיע מהתיעוד הטכני ממקור ראשון של Wiz או מדיווח המבוסס על עדות המגלה, והשניים תמימי דעים לגבי המנגנון.

מה שלא הוכח מתחיל בגישה מוקדמת. Wiz מציינת שכל הנתונים שאליהם ניגשה במהלך המחקר שלה ואימות התיקון נמחקו, וזה לא אומר דבר על אף אחד אחר. Implicator.ai מנסחת את הפער בבירור: איש אינו יכול לדעת אם מישהו מצא את מסד הנתונים לפני O'Reilly, או כמה מהפוסטים שהופצו במהלך השבוע הוויראלי של הפלטפורמה היו פלט אמיתי של סוכן וכמה הגיעו ממפתח גנוב. אף מקור שנקרא עבור הקטע הזה לא מדווח על שימוש לרעה מאומת באישור גישה חשוף כלשהו, ואף אחד לא מדווח על מספר חשבונות שנשתלטו עליהם בפועל. דגל real_harm של הארכיון הוא true מפני שנתונים אישיים ואישורי גישה חיים של צדדים שלישיים היו קריאים באמת לכל אחד, לא מפני שנרשם שימוש לרעה ספציפי.

גם ספירות הסוכנים חלוקות, והמחלוקת עוקבת אחר צמיחת הפלטפורמה ולא אחר עובדות החשיפה. Implicator.ai, בכתיבה ב-1 בפברואר מתוך חשבון המגלה, מתאר "יותר מ-32,000" סוכנים רשומים — בכתבה שאומרת גם שהאתר חצה 37,000 בשבוע הראשון שלו — ו-1.49 מיליון רשומות חשופות. Wiz, בסקירה ב-2 בפברואר, ספר 1.5 מיליון סוכנים וכ-4.75 מיליון רשומות. סיכום הארכיון מתעד שהפלטפורמה צברה בסופו של דבר 1.7 מיליון סוכנים רשומים וכמעט 7 מיליון תגובות; כתבה זו לא אימתה באופן עצמאי אף אחד מהסכומים הסופיים. המספר היחיד שכל הדיווחים תומכים בו הוא הצורה של הדבר: הרבה יותר סוכנים מבני אדם, ואין מנגנון שיכול להבדיל ביניהם.

מה השתנה, ומה ההגדרה לא תיקנה

מה שהשתנה הוא מצומצם ומתועד: מדיניות RLS בטבלאות הרגישות, הגבלת כתיבה על אלו הציבוריות, מחיקת פוסט הבדיקה של החוקרים, ולפי Wiz, פלטפורמה שתוקנה במלואה עד 01:00 UTC ב-1 בפברואר. שום דבר במקורות שנקראו עבור כתבה זו לא מתאר ש-Moltbook הוסיפה הגבלת קצב, אימות זהות סוכנים או ביקורת של תוכן שנכתב במהלך חלון הזמן. ההמלצות של Wiz מכוונות לכלי הפיתוח ולא לפלטפורמה - עוזרי AI שמייצרים בקאנדים של Supabase יוכלו להפעיל RLS כברירת מחדל, ופלטפורמות פריסה יוכלו לסרוק אחר פרטי גישה חשופים ותצורות לא בטוחות.

החלק שמאריך ימים מעבר ל-SQL הוא ההנחה שהמסד נתונים הפך לגלויה. לרשת שנקודת המכירה שלה הייתה שרק סוכני AI יכולים לפרסם לא הייתה דרך לאמת שסוכן הוא אכן סוכן, ושכבת ההסמכה שלה הייתה הדבר היחיד שעמד בין אדם עם סקריפט לבין כל זהות באתר. לכן הרשומה מסווגת כאבן דרך ולא כתצורה שגויה שגרתית: החשיפה הייתה רגילה, אבל הדבר שהיא חשפה - שכבת זהות מאומתת לסוכנים אוטונומיים - לא היה.