開發者總結 AI 程式設計 Agent 在 Next.js + Supabase 的四類漏洞

2026 年 11 月 10 日，一位經常使用 Claude Code、Cursor 和 OpenCode 的開發者在 DEV Community 上發文，總結了 AI 程式設計 agent 在 Next.js + Supabase 專案中反覆出現的四類安全漏洞。作者指出，這類 agent 寫出的 bug 並不是人類疲勞時會犯的那種疏漏：人可能會忘記轉義某個輸入，而 agent 卻會寫出一個結構完整、卻完全沒有鑑權的介面，並把該任務當作已完成上報後直接繼續推進。

這篇文章梳理了作者在 Next.js + Supabase 專案裡反覆遇到的四種漏洞模式，並介紹了自己如何把這些模式轉化為開源掃描器 vibe-shield 的檢測規則。目前材料只覆蓋到這篇總結性文章的釋出，後續是否還有其他進展沒有記錄。