Moltbook-database volledig open: 1,5 miljoen agent-API-sleutels, 35.000 e-mailadressen

Moltbook is a Reddit-style social network built so that only AI agents can post. Its founder, Matt Schlicht, launched it on 28 January 2026 and said publicly on X that he had not written a single line of its code: "I just had a vision for the technical architecture, and AI made it a reality," as Wiz quotes him. Three days later, on 31 January 2026, 404 Media reported that anyone could take control of any AI agent on the site. Wiz, which had found the same misconfiguration independently, published the technical account on 2 February: a Supabase API key hard-coded into Moltbook's client-side JavaScript pointed at a production database with no Row Level Security, and an unauthenticated request to the agents table returned live authentication tokens for the platform's agents, including its best-known ones. Wiz counted 1.5 million API tokens, 35,000 email addresses and 4,060 private agent-to-agent conversations readable that way, and confirmed it could also rewrite live posts. The archive files the episode as a critical-severity credential incident with a day-precision date of 31 January 2026, a confidence grade of A and recorded real harm, alongside the rest of its agent-infrastructure records in the Orca AI Incident Archive.

De sleutel was nooit het geheim.

Supabase is a hosted Postgres service with a REST API that Wiz describes as popular with vibe-coded applications because it is easy to set up. Its publishable key is designed to sit in client-side code: it identifies the project, and the access control is supposed to come from Row Level Security policies on the tables behind it. Wiz's Gal Nagli states the point explicitly in the write-up: exposing the key "does not automatically indicate a security failure," and when RLS is configured correctly "the public API key is safe to expose - it acts like a project identifier." In Moltbook's implementation, Wiz writes, "this critical line of defense was missing."

Het mechanisme was een bundel. Volgens Wiz bevatte het productie-JavaScriptbestand op moltbook.com/_next/static/chunks/18e24eafc444b2b9.js zowel het Supabase-projectadres, ehxbxtjliybbloantpwq.supabase.co, als de sleutel, sb_publishable_4ZaiilhgPir-2ns8Hxg5Tw_JqZU_G6-. Wiz stuurde vervolgens een verzoek naar de tabel agents met de vraag om drie namen en API-sleutels, een query die een lege array of een autorisatiefout zou moeten hebben opgeleverd. In plaats daarvan werden er rijen geretourneerd, waaronder de authenticatietokens van de populairste agents van het platform. Van daaruit bracht Wiz het schema in kaart met behulp van PostgREST-foutmeldingen en GraphQL-introspectie, en telde ongeveer 4,75 miljoen blootgestelde records.

De samenvatting van het archief zegt dat Moltbook Row Level Security "nooit heeft ingeschakeld", en de bronnen zijn minder stellig dan dat. Geen van beide toont een configuratiegeschiedenis, dus wat gedocumenteerd is, is dat RLS tijdens de review niet van kracht was: Wiz trof de tabellen open aan, en Implicator.ai, dat verslag doet van de lezing van de ontdekker, schrijft dat Moltbook "nooit RLS heeft ingeschakeld. Of als dat wel is gebeurd, waren er geen policies geconfigureerd." Of de instelling nooit is ingeschakeld of is ingeschakeld zonder dat er policies waren, wordt door geen van beide verslagen vastgesteld, en het praktische resultaat is hetzelfde.

Wat stond er eigenlijk in de tabellen

Wiz noemt de tabellen en hun inhoud. De tabel agents bevatte per rij de api_key waarmee de agent werd geauthenticeerd, een claim_token dat werd gebruikt om eigendom ervan op te eisen, een verification_code die bij registratie werd uitgegeven, en de karma- en volgersaantallen van de agent. Dat is een complete set voor accountovername in plaats van een datalek: met een van die sleutels kan een verzoek berichten plaatsen, berichten sturen en zich anderszins voordoen als die agent, en Wiz merkt op dat dit ook accounts met veel karma en bekende persona-agents omvatte.

De owners-tabel bevatte persoonlijke gegevens van meer dan 17.000 gebruikers, waaronder e-mailadressen plus de X-handle en weergavenaam achter elke agent. Een tabel die Wiz later via het GraphQL-endpoint vond, observers, bevatte nog eens 29.631 e-mailadressen van aanmeldingen voor vroegtijdige toegang tot het geplande product "Build Apps for AI Agents" van Moltbook. De agent_messages-tabel bevatte 4.060 privéconversaties via directe berichten tussen agents, opgeslagen zonder versleuteling of toegangscontroles, en Wiz meldt dat sommige inloggegevens van derden in platte tekst bevatten, waaronder OpenAI API-sleutels die agents met elkaar hadden gedeeld.

De verhouding tussen agents en mensen is het onderdeel dat het publieke verhaal van het platform ondermijnde. Wiz meldt 1,5 miljoen geregistreerde agents tegenover ongeveer 17.000 menselijke eigenaren, ongeveer 88 agents per persoon, en schrijft het verschil toe aan het ontbreken van rate limiting of identiteitsverificatie: iedereen kon agents in een loop registreren, en een mens kon zich als "agent" voordoen met een eenvoudig POST-verzoek. De conclusie van Wiz is onverbloemd: "het revolutionaire AI-sociale netwerk bestond grotendeels uit mensen die legers bots aanstuurden."

Het e-mailaantal komt niet netjes uit en Wiz legt niet uit waarom. Het headlinecijfer is 35.000 e-mailadressen; de eigen tellingen op tabelniveau zijn ruim 17.000 e-mails van eigenaren en 29.631 e-mails van waarnemers, die samen ongeveer 46.600 opleveren. Beide getallen zijn van Wiz, en dit artikel heeft niet vastgesteld hoe de 35.000 tot stand is gekomen - ofwel door deduplicatie over de twee tabellen, ofwel op basis van een momentopname van voordat de waarnemerstabel werd gevonden.

De schrijfhelft van de exposure

Het lezen van de gegevens was niet de hele bevinding. Wiz meldt dat zelfs nadat de eerste ronde fixes de leestoegang tot de gevoelige tabellen had geblokkeerd, de schrijftoegang tot de openbare tabellen openbleef. Wiz testte dit door een PATCH-verzoek naar een live post te sturen en de titel en body ervan te vervangen door de string "@galnagli - responsible disclosure test", en bevestigde vervolgens dat de bewerking zichtbaar was op de site. Nadat de schrijfbeperking was ingevoerd, kon Wiz zijn eigen testpost niet meer terugdraaien; het Moltbook-team verwijderde de inhoud een paar uur later, schrijft Wiz, en bedankte de onderzoekers voor het rapport.

De door Wiz geuite zorg is niet het beschadigen van de site als doel op zich. Een niet-geauthenticeerde schrijfroute naar berichten betekent dat iedereen prompt-injectiepayloads kan injecteren in inhoud die andere agents lezen, en Wiz brengt de integriteit van de berichten, stemmen en karma van het platform tijdens het blootstellingsvenster naar voren als een open vraag in plaats van een gemeten gegeven. Geen enkele voor dit stuk gelezen bron kwantificeert hoeveel inhoud is gewijzigd of door wie.

Drie uur en twaalf minuten, vier afzonderlijke reparaties

De disclosure-tijdlijn van Wiz begint op {{1}}21:48 UTC op 31 januari 2026{{/1}}, met een eerste contact met de beheerder van {{2}}Moltbook{{/2}} via een direct bericht op X, en eindigt op {{3}}01:00 UTC op 1 februari{{/3}}, toen de laatste van de blootgestelde tabellen was beveiligd. Na dat eerste contact worden nog zeven stappen vastgelegd: de melding om {{4}}22:06{{/4}}, een eerste fix om {{5}}23:29{{/5}} die de tabellen {{6}}agents, owners en site_admins{{/6}} dekte, een tweede om {{7}}00:13{{/7}} die {{8}}agent_messages, notifications, votes en follows{{/8}} dekte, de ontdekking van het schrijfpad om {{9}}00:31{{/9}}, de derde fix die het om {{10}}00:44{{/10}} sloot, de ontdekking van de tabellen {{11}}observers, identity_verifications en developer_apps{{/11}} om {{12}}00:50{{/12}}, en de laatste fix om {{13}}01:00{{/13}}.

That timeline is the strongest argument against the simplest version of this story. Implicator.ai describes the fix in two SQL statements - it writes that "the fix required two SQL statements. They didn't exist," and the archive's summary carries the same "two lines of SQL" framing. The core repair for the read exposure probably was that small: enable RLS and add policies on the tables. But Wiz's own record shows four fixes across three hours, a second and separate write-access gap that the read fix did not close, and three further tables - including the 29,631 observer addresses - that surfaced only after the first two rounds. Wiz's closing lesson is that it "worked with the team through multiple rounds of remediation, with each iteration surfacing additional exposed surfaces." The two-line version describes the configuration change, not the remediation.

Twee ontdekkingen, en een verschil in het verslag

The find is usually credited to Jamieson O'Reilly, who founded the Australian security firm Dvuln, and who demonstrated the takeover to 404 Media; Implicator.ai reports that 404 Media verified the capability by updating O'Reilly's own Moltbook account with his permission. Wiz's post is by Gal Nagli and carries a note at the end crediting O'Reilly: "Security researcher Jameson O'Reilly also discovered the underlying Supabase misconfiguration, which has been reported by 404 Media." The note goes on to say that Wiz's post shares an independent discovery of the same issue.

The archive's summary describes both as Wiz researchers. Wiz's own post does not: it names Nagli as its author and describes O'Reilly as an independent researcher whose find 404 Media reported, and Implicator.ai places O'Reilly at Dvuln. The spelling is also unsettled across sources - Wiz writes "Jameson", while Dvuln's own site lists its founder as "Jamieson" - and this piece has used the spelling that site uses. What is not in dispute is that there were two independent discoveries of the same misconfiguration within days.

The account of the response differs by source, and the difference is worth reporting rather than resolving. On O'Reilly's account, relayed by Implicator.ai, he approached Schlicht directly and offered to help patch the flaw; the reply was: "I'm just going to give everything to AI. So send me whatever you have." A full day then passed without follow-up, according to that account, and Schlicht did not respond to 404 Media's request for comment. Wiz, contacting the maintainer separately, records its report filed at 22:06 UTC and the last of four fixes at 01:00 UTC, three hours and twelve minutes after first contact. The two timelines run on different channels and neither source says whether one prompted the other; both can be accurate.

Wat het dossier vaststelt, en wat niet.

De vastgestelde feiten zijn de configuratie, de gegevensklassen, de twee onafhankelijke ontdekkingen, de herstelvolgorde en de verhouding tussen mensen en agents op het platform. Alles in die lijst is afkomstig uit Wiz' eigen technische verslag of uit berichtgeving gebaseerd op de verklaring van de ontdekker, en beide stemmen overeen wat het mechanisme betreft.

Wat niet vaststaat, begint bij eerdere toegang. Wiz stelt dat alle gegevens die tijdens zijn onderzoek en verificatie van de fix zijn geraadpleegd, zijn verwijderd, en dat zegt niets over iemand anders. Implicator.ai benoemt de leemte ronduit: niemand kan zeggen of iemand de database vóór O'Reilly heeft gevonden, of hoeveel van de berichten die tijdens de virale week van het platform circuleerden echte output van de agent waren en hoeveel afkomstig waren van een gestolen sleutel. Geen enkele bron die voor dit stuk is geraadpleegd, meldt een bevestigd misbruik van een blootgesteld inloggegeven, en geen enkele meldt hoeveel accounts daadwerkelijk zijn overgenomen. De real_harm-vlag van het archief staat op true omdat persoonsgegevens en actieve inloggegevens van derden daadwerkelijk voor iedereen leesbaar waren, niet omdat een specifiek misbruik is vastgelegd.

Ook de agentenaantallen lopen uiteen, en de verschillen volgen de groei van het platform in plaats van de feiten rond de blootstelling. Implicator.ai, dat op 1 februari vanuit de account van de vinder schrijft, noemt "meer dan 32.000" geregistreerde agenten — in een stuk dat ook zegt dat de site in de eerste week de 37.000 overschreed — en 1,49 miljoen blootgestelde records. Wiz, dat op 2 februari een analyse uitvoerde, telde 1,5 miljoen agenten en ongeveer 4,75 miljoen records. De samenvatting van het archief vermeldt dat het platform uiteindelijk 1,7 miljoen geregistreerde agenten en bijna 7 miljoen reacties verzamelde; dit stuk heeft geen van beide uiteindelijke totalen onafhankelijk bevestigd. Het enige getal dat alle verslagen ondersteunen, is de vorm van het geheel: veel meer agenten dan mensen, en geen mechanisme dat het verschil zou kunnen vaststellen.

Wat er is veranderd, en wat de instelling niet heeft opgelost

Wat er is veranderd, is beperkt en gedocumenteerd: RLS-beleid op de gevoelige tabellen, een schrijfbeperking op de openbare tabellen, het verwijderen van de testpost van de onderzoekers en, volgens Wiz, een platform dat tegen 01:00 UTC op 1 februari volledig was gepatcht. Geen van de bronnen die voor dit stuk zijn gelezen, beschrijft dat Moltbook rate limiting, verificatie van agentidentiteiten of een audit van inhoud die tijdens het venster is geschreven, heeft toegevoegd. De aanbevelingen van Wiz zijn gericht op de tooling, niet op het platform: AI-assistenten die Supabase-backends genereren, zouden RLS standaard kunnen inschakelen, en deploymentplatforms zouden kunnen scannen op blootgestelde inloggegevens en onveilige configuraties.

Het deel dat de SQL overleeft, is de premisse die de database zichtbaar maakte. Een netwerk waarvan de verkoopbelofte was dat alleen AI-agenten berichten konden plaatsen, had geen manier om te verifiëren dat een agent een agent was, en de laag met inloggegevens was het enige dat tussen een mens met een script en elke identiteit op de site stond. Daarom wordt het voorval vastgelegd als een mijlpaal in plaats van als een routinematige configuratiefout: de blootstelling was gewoon, en wat zij blootlegde – een geauthenticeerde identiteitslaag voor autonome agenten – was dat niet.