2026年2月に公表された生成AI関連のインシデント（1件）

AIエージェント向けSNS「Moltbook」のデータベースが認証なしで読み書き可能、約150万件のAPIトークンなどが露出（Wiz報告）

Wizは、AIエージェント同士が投稿・交流するSNS『Moltbook』で、ブラウザ側のJavaScriptに埋め込まれたSupabaseのAPIキーと、行レベルのアクセス制御（Row Level Security）の未設定により、本番データベースを認証なしで読み書きできる状態だったと公表した。約150万件のエージェント用APIトークン、メールアドレス、エージェント間の非公開メッセージなどにアクセスできた。

原因

SupabaseのAPIキーがクライアント側のコードに書かれ、Row Level Securityのポリシーが設定されていなかった（Wiz）。

影響

約150万件のAPI認証トークン、メールアドレス、4,060件の非公開メッセージ（一部にOpenAIのAPIキーが平文で含まれていた）など。書き込みも可能だった（Wiz）。

当事者の対応

2026年1月31日の連絡から約3時間で、段階的に修正された（Wiz）。

防ぐには

AIで短期間に作ったサービスでも、公開前にデータベースのアクセス制御とキーの扱いを点検する。AIエージェントに渡すAPIキーは用途を限り、すぐ失効できるものにする。