Database Moltbook terbuka sepenuhnya: 1,5 juta kunci API agen, 35.000 email

Moltbook adalah jejaring sosial bergaya Reddit yang dibangun sehingga hanya agen AI yang dapat memposting. Pendirinya, Matt Schlicht, meluncurkannya pada 28 Januari 2026 dan mengatakan secara publik di X bahwa ia belum menulis satu baris pun kode platform itu: "Saya hanya punya visi untuk arsitektur teknisnya, dan AI mewujudkannya," seperti dikutip Wiz. Tiga hari kemudian, pada 31 Januari 2026, 404 Media melaporkan bahwa siapa pun dapat mengambil kendali atas agen AI mana pun di situs tersebut. Wiz, yang secara independen telah menemukan kesalahan konfigurasi yang sama, menerbitkan laporan teknis pada 2 Februari: kunci API Supabase yang di-hardcode ke dalam JavaScript sisi klien Moltbook mengarah ke basis data produksi tanpa Row Level Security, dan permintaan tanpa autentikasi ke tabel agents mengembalikan token autentikasi aktif untuk agen-agen platform tersebut, termasuk agen yang paling dikenal. Wiz menghitung 1,5 juta token API, 35.000 alamat email, dan 4.060 percakapan privat antaragen yang dapat dibaca dengan cara itu, dan mengonfirmasi bahwa pihaknya juga dapat menulis ulang postingan aktif. Arsip tersebut mengarsipkan episode ini sebagai insiden kredensial berkeparahan kritis dengan tanggal presisi hari 31 Januari 2026, nilai keyakinan A, dan mencatat kerugian nyata, bersama catatan infrastruktur agennya yang lain di Orca AI Incident Archive.

Kuncinya tidak pernah menjadi rahasia

Supabase adalah layanan Postgres terkelola dengan REST API yang menurut Wiz populer di kalangan aplikasi vibe-coded karena mudah disiapkan. Publishable key-nya dirancang untuk berada di kode sisi klien: key ini mengidentifikasi proyek, dan kontrol akses seharusnya berasal dari kebijakan Row Level Security pada tabel di belakangnya. Gal Nagli dari Wiz menyatakan poin ini secara eksplisit dalam tulisannya: mengekspos key tersebut "tidak secara otomatis menunjukkan kegagalan keamanan," dan ketika RLS dikonfigurasi dengan benar "public API key aman untuk diekspos - key ini berfungsi seperti pengenal proyek." Dalam implementasi Moltbook, tulis Wiz, "lapisan pertahanan kritis ini tidak ada."

Mekanismenya adalah sebuah bundel. Menurut Wiz, file JavaScript produksi di moltbook.com/_next/static/chunks/18e24eafc444b2b9.js memuat alamat proyek Supabase, ehxbxtjliybbloantpwq.supabase.co, dan kunci, sb_publishable_4ZaiilhgPir-2ns8Hxg5Tw_JqZU_G6-. Wiz lalu mengirim permintaan ke tabel agents yang meminta tiga nama dan kunci API, kueri yang seharusnya mengembalikan array kosong atau kesalahan otorisasi. Namun, yang dikembalikan adalah baris-baris data, termasuk token autentikasi agen-agen paling populer di platform tersebut. Dari situ Wiz memetakan skema menggunakan pesan kesalahan PostgREST dan introspeksi GraphQL, lalu menghitung sekitar 4,75 juta catatan yang terekspos.

Ringkasan arsip menyatakan Moltbook "tidak pernah mengaktifkan" Row Level Security, dan sumber-sumbernya lebih longgar daripada itu. Tidak satu pun menunjukkan riwayat konfigurasi, jadi yang terdokumentasi adalah bahwa RLS tidak berlaku selama peninjauan: Wiz menemukan tabel-tabel itu terbuka, dan Implicator.ai, yang melaporkan keterangan penemunya, menulis bahwa Moltbook "tidak pernah mengaktifkan RLS. Atau jika pernah, tidak ada kebijakan yang dikonfigurasi." Apakah pengaturan itu tidak pernah diaktifkan atau diaktifkan tanpa kebijakan apa pun tidak dapat dipastikan oleh kedua laporan tersebut, dan hasil praktisnya sama.

Apa sebenarnya yang ada di dalam tabel-tabel itu

Wiz menyebutkan nama tabel dan isinya. Tabel agents berisi, per baris, api_key yang mengautentikasi agen, claim_token yang digunakan untuk mengklaim kepemilikannya, verification_code yang diterbitkan saat registrasi, serta jumlah karma dan pengikut agen tersebut. Itu adalah perangkat lengkap untuk mengambil alih akun, bukan sekadar kebocoran data: dengan salah satu kunci itu, sebuah permintaan dapat memposting, mengirim pesan, dan bertindak sebagai agen tersebut, dan Wiz mencatat bahwa ini mencakup akun dengan karma tinggi dan agen persona yang terkenal.

Tabel owners menyimpan informasi pribadi lebih dari 17.000 pengguna, termasuk alamat email serta handle X dan nama tampilan di balik setiap agen. Tabel observers yang ditemukan Wiz belakangan melalui endpoint GraphQL berisi 29.631 alamat email tambahan milik pendaftar akses awal untuk produk Moltbook yang direncanakan, "Build Apps for AI Agents". Tabel agent_messages menyimpan 4.060 percakapan pesan langsung privat antaragen, yang disimpan tanpa enkripsi atau kontrol akses, dan Wiz melaporkan bahwa beberapa di antaranya berisi kredensial pihak ketiga dalam teks biasa, termasuk kunci API OpenAI yang dibagikan para agen satu sama lain.

Rasio antara agen dan manusia adalah bagian yang meruntuhkan narasi publik platform tersebut. Wiz melaporkan 1,5 juta agen terdaftar dibandingkan sekitar 17.000 pemilik manusia, sekitar 88 agen per orang, dan mengaitkan kesenjangan itu dengan tidak adanya pembatasan laju atau verifikasi identitas: siapa pun dapat mendaftarkan agen dalam perulangan, dan seorang manusia dapat memposting sebagai "agen" dengan permintaan POST dasar. Kesimpulan Wiz blak-blakan - "jaringan sosial AI yang revolusioner itu sebagian besar adalah manusia yang mengoperasikan armada bot."

Jumlah email tersebut tidak bertambah dengan rapi dan Wiz tidak menjelaskan alasannya. Angka utamanya adalah 35.000 alamat email; hitungan pada tingkat tabelnya sendiri adalah lebih dari 17.000 email pemilik dan 29.631 email pengamat, yang jika dijumlahkan menjadi sekitar 46.600. Kedua angka itu berasal dari Wiz, dan artikel ini tidak menetapkan bagaimana angka 35.000 diperoleh - apakah melalui deduplikasi di antara kedua tabel atau dari snapshot yang diambil sebelum tabel pengamat ditemukan.

Separuh penulisan dari eksposur

Membaca data bukanlah keseluruhan temuan. Wiz melaporkan bahwa bahkan setelah putaran pertama perbaikan memblokir akses baca ke tabel sensitif, akses tulis ke tabel publik tetap terbuka. Wiz mengujinya dengan mengirim permintaan PATCH ke kiriman aktif dan mengganti judul serta isinya dengan string "@galnagli - responsible disclosure test", lalu memastikan perubahan itu terlihat di situs. Setelah pembatasan tulis diterapkan, Wiz tidak lagi dapat mengembalikan kiriman ujinya sendiri; tim Moltbook menghapus konten tersebut beberapa jam kemudian, tulis Wiz, dan berterima kasih kepada para peneliti atas laporannya.

Kekhawatiran yang dinyatakan Wiz bukanlah perusakan tampilan demi perusakan itu sendiri. Jalur tulis tanpa autentikasi ke {{1}}postingan{{/1}} berarti siapa pun dapat menyuntikkan payload {{2}}prompt-injection{{/2}} ke dalam konten yang dibaca agen lain, dan Wiz mengangkat integritas {{3}}postingan, suara, dan karma{{/3}} platform selama jendela paparan sebagai pertanyaan terbuka, bukan sebagai hal yang telah diukur. Tidak ada sumber yang dibaca untuk artikel ini yang mengukur berapa banyak konten yang diubah atau oleh siapa.

Tiga jam dua belas menit, empat perbaikan terpisah

Lini masa pengungkapan Wiz dimulai pada 21:48 UTC tanggal 31 Januari 2026, dengan kontak awal kepada pemelihara Moltbook melalui pesan langsung X, dan berakhir pada 01:00 UTC tanggal 1 Februari, ketika tabel terakhir yang terekspos telah diamankan. Setelah kontak pertama itu, lini masa mencatat tujuh langkah berikutnya: laporan pada 22:06, perbaikan pertama pada 23:29 yang mencakup tabel agents, owners, dan site_admins, perbaikan kedua pada 00:13 yang mencakup agent_messages, notifications, votes, dan follows, penemuan jalur tulis pada 00:31, perbaikan ketiga yang menutupnya pada 00:44, penemuan tabel observers, identity_verifications, dan developer_apps pada 00:50, dan perbaikan terakhir pada 01:00.

Lini masa itu adalah argumen terkuat terhadap versi paling sederhana dari kisah ini. Implicator.ai menggambarkan perbaikannya dalam dua pernyataan SQL - ia menulis bahwa "perbaikan itu memerlukan dua pernyataan SQL. Keduanya tidak ada," dan ringkasan arsipnya membawa kerangka "dua baris SQL" yang sama. Perbaikan inti untuk eksposur baca mungkin memang sekecil itu: aktifkan RLS dan tambahkan kebijakan pada tabel-tabel. Namun catatan Wiz sendiri menunjukkan empat perbaikan dalam rentang tiga jam, celah akses tulis kedua yang terpisah yang tidak ditutup oleh perbaikan baca, dan tiga tabel tambahan - termasuk 29,631 alamat pengamat - yang baru muncul setelah dua putaran pertama. Pelajaran penutup Wiz adalah bahwa ia "bekerja dengan tim melalui beberapa putaran remediasi, dengan setiap iterasi memunculkan permukaan terekspos tambahan." Versi dua baris menggambarkan perubahan konfigurasi, bukan remediasinya.

Dua penemuan, dan perbedaan dalam catatan

Temuan ini biasanya dikreditkan kepada Jamieson O'Reilly, yang mendirikan firma keamanan Australia Dvuln dan mendemonstrasikan pengambilalihan tersebut kepada 404 Media; Implicator.ai melaporkan bahwa 404 Media memverifikasi kemampuan itu dengan memperbarui akun Moltbook milik O'Reilly sendiri atas izinnya. Pos Wiz ditulis oleh Gal Nagli dan memuat catatan di bagian akhir yang mengkreditkan O'Reilly: "Peneliti keamanan Jameson O'Reilly juga menemukan kesalahan konfigurasi Supabase yang mendasarinya, yang telah dilaporkan oleh 404 Media." Catatan itu selanjutnya menyatakan bahwa pos Wiz membagikan temuan independen atas masalah yang sama.

Ringkasan arsip menggambarkan keduanya sebagai peneliti Wiz. Pos Wiz sendiri tidak demikian: pos itu menyebut Nagli sebagai penulisnya dan menggambarkan O'Reilly sebagai peneliti independen yang temuannya dilaporkan 404 Media, dan Implicator.ai menempatkan O'Reilly di Dvuln. Ejaannya juga belum seragam di berbagai sumber - Wiz menulis "Jameson", sementara situs Dvuln sendiri mencantumkan pendirinya sebagai "Jamieson" - dan artikel ini menggunakan ejaan yang dipakai situs tersebut. Yang tidak diperdebatkan adalah bahwa ada dua penemuan independen atas kesalahan konfigurasi yang sama dalam hitungan hari.

Versi cerita tentang respons itu berbeda-beda menurut sumbernya, dan perbedaannya layak dilaporkan daripada diselesaikan. Menurut versi O'Reilly, yang diteruskan oleh Implicator.ai, ia mendekati Schlicht secara langsung dan menawarkan bantuan untuk menambal celah tersebut; jawabannya adalah: "Saya hanya akan menyerahkan semuanya kepada AI. Jadi kirimkan apa pun yang Anda punya." Menurut versi itu, satu hari penuh kemudian berlalu tanpa tindak lanjut, dan Schlicht tidak menanggapi permintaan komentar dari 404 Media. Wiz, yang menghubungi pengelola secara terpisah, mencatat laporannya diajukan pada 22:06 UTC dan perbaikan terakhir dari empat perbaikan pada 01:00 UTC, tiga jam dua belas menit setelah kontak pertama. Kedua lini masa itu berjalan melalui saluran yang berbeda dan tidak ada sumber yang menyatakan apakah yang satu memicu yang lain; keduanya bisa akurat.

Apa yang ditetapkan oleh catatan, dan apa yang tidak.

Fakta-fakta yang sudah mapan adalah konfigurasi, kelas data, dua temuan independen, urutan perbaikan, dan rasio manusia terhadap agen pada platform tersebut. Semua yang ada dalam daftar itu berasal dari tulisan teknis pihak pertama Wiz atau dari pemberitaan yang disusun berdasarkan keterangan penemu, dan keduanya sepakat soal mekanismenya.

Hal yang belum dapat dipastikan berawal dari akses sebelumnya. Wiz menyatakan bahwa semua data yang diakses selama riset dan verifikasi perbaikannya telah dihapus, dan itu tidak menjelaskan apa pun tentang pihak lain. Implicator.ai menyatakan celahnya secara gamblang: tidak ada yang bisa memastikan apakah seseorang menemukan basis data itu sebelum O'Reilly, atau berapa banyak dari postingan yang beredar selama pekan viral platform tersebut merupakan keluaran agen yang asli dan berapa banyak yang berasal dari kunci yang dicuri. Tidak ada sumber yang dibaca untuk tulisan ini yang melaporkan penyalahgunaan terkonfirmasi atas kredensial apa pun yang terekspos, dan tidak ada yang melaporkan jumlah akun yang benar-benar diambil alih. Flag real_harm pada arsip itu bernilai true karena data pribadi dan kredensial pihak ketiga yang aktif benar-benar dapat dibaca oleh siapa saja, bukan karena ada penyalahgunaan spesifik yang tercatat.

Jumlah agen juga tidak sepakat, dan ketidaksepakatannya mengikuti pertumbuhan platform, bukan fakta eksposur. Implicator.ai, dalam tulisan tanggal 1 Februari berdasarkan keterangan penemu, menyebut "lebih dari 32.000" agen terdaftar—dalam artikel yang juga menyatakan situs tersebut melewati 37.000 pada minggu pertamanya—dan 1,49 juta catatan yang terekspos. Wiz, dalam tinjauannya pada 2 Februari, menghitung 1,5 juta agen dan sekitar 4,75 juta catatan. Ringkasan arsip mencatat bahwa platform tersebut akhirnya mengumpulkan 1,7 juta agen terdaftar dan hampir 7 juta komentar; artikel ini tidak memverifikasi secara independen kedua angka total akhir tersebut. Satu-satunya angka yang didukung semua catatan adalah bentuk perkaranya: jauh lebih banyak agen daripada manusia, dan tidak ada mekanisme yang dapat membedakannya.

Apa yang berubah, dan apa yang tidak diperbaiki oleh pengaturan tersebut

Yang berubah bersifat sempit dan terdokumentasi: kebijakan RLS pada tabel-tabel sensitif, pembatasan penulisan pada tabel publik, penghapusan unggahan uji para peneliti, dan, menurut Wiz, platform yang telah ditambal sepenuhnya pada pukul 01.00 UTC tanggal 1 Februari. Tidak ada dalam sumber-sumber yang dibaca untuk artikel ini yang menjelaskan bahwa Moltbook menambahkan pembatasan laju, verifikasi identitas agen, atau audit terhadap konten yang ditulis selama periode tersebut. Rekomendasi Wiz ditujukan pada perkakas, bukan pada platform - asisten AI yang menghasilkan backend Supabase dapat mengaktifkan RLS secara default, dan platform deployment dapat memindai kredensial yang terekspos serta konfigurasi yang tidak aman.

Bagian yang bertahan lebih lama dari SQL adalah premis yang dibuat terlihat oleh basis data. Sebuah jaringan yang nilai jualnya adalah hanya agen AI yang dapat memposting tidak memiliki cara untuk memverifikasi bahwa sebuah agen memang agen, dan lapisan kredensialnya adalah satu-satunya hal yang menghalangi seorang manusia dengan skrip dari setiap identitas di situs itu. Itulah sebabnya catatan ini diajukan sebagai tonggak penting, bukan sebagai kesalahan konfigurasi rutin: eksposurnya biasa saja, tetapi hal yang dieksposnya—lapisan identitas terautentikasi untuk agen otonom—tidak biasa.