The Pulse

Constructive rende open source Safegres per verificare la sicurezza a livello di riga e i privilegi in Postgres

Safegres di Constructive verifica le policy di sicurezza a livello di riga e i privilegi in Postgres, indicando a quali righe può accedere ciascun ruolo. Lo strumento opera in sola lettura e offre controlli separati per la sicurezza e le pr

AI.info Team · Scritto con l’IA · verificato · 2026-11-06

Il comunicato cita una scansione dei progetti Lovable

Constructive ha annunciato il 6 novembre il rilascio pubblico di Safegres, uno strumento open source per verificare la sicurezza di Postgres. Il comunicato lo descrive come uno strumento per verificare le policy di sicurezza a livello di riga (RLS) e i privilegi in un database PostgreSQL in uso, indicando a quali righe può accedere ciascun ruolo.

L’annuncio cita una scansione del 2 novembre, condotta dalla società di sicurezza di Amburgo Crissy Field e dal quotidiano tedesco Handelsblatt, su 159.041 progetti realizzati con Lovable, uno strumento per creare app con l’IA. Secondo il comunicato, la scansione ha individuato 24.664 siti i cui database Postgres fornivano record a visitatori anonimi, tra cui 7.403 che esponevano indirizzi email. Cita anche i risultati di UpGuard, che ha individuato 16.326 database con tabelle leggibili esposte su circa 300.000 domini, e quelli di Shippable, secondo cui le tabelle erano accessibili al pubblico nel 25,6% di 4994 progetti Bolt.new. CVE-2025-48757 riguardava 303 endpoint esposti in 170 app Lovable, si legge nel comunicato.

Controlli separati per sicurezza e prestazioni

I team possono eseguire Safegres su una copia dell’ambiente di produzione o automaticamente a ogni modifica del database. Lo strumento valuta separatamente sicurezza e prestazioni, con oltre 30 controlli di sicurezza e più di 10 controlli delle prestazioni.

Lo strumento segue i permessi attraverso ruoli ereditati, impostazioni predefinite condivise, viste e funzioni per mostrare a cosa può effettivamente accedere ciascun ruolo. Una raccolta di database di esempio con difetti noti viene usata per verificare che Safegres individui i problemi previsti senza segnalarne altri che non dovrebbe.

Basato sugli strumenti Postgres di Constructive

Safegres è basato sul toolkit open source «Babel for Postgres» di Constructive, che traduce SQL in una forma strutturata che i programmi possono leggere, controllare e riscrivere. Il toolkit usa la grammatica di PostgreSQL, le stesse regole utilizzate dal database. Secondo l’azienda, il parser Postgres di Constructive viene scaricato più di 9 milioni di volte al mese e i suoi strumenti di parsing sono stati usati in più di 1.100 progetti pubblici su GitHub, compresi progetti di team di Canva, Gel Data, Neon e Supabase. Il comunicato indica che Gel Data è stata acquisita da Vercel.

Uso nella CI e con agenti IA

Safegres viene eseguito nei processi di integrazione e distribuzione continua (CI/CD), anche sulle pull request di GitHub, e segnala solo i problemi introdotti da una modifica. Safegres funziona con Supabase, PostgREST, Hasura, Graphile e Constructive, e i team che usano Supabase possono utilizzarlo per verificare le policy RLS e i privilegi.

I database di esempio possono essere usati anche per testare gli agenti IA: a un agente può essere affidato un database con dei difetti, che può poi essere verificato nuovamente per controllare se l’agente ha risolto il problema senza crearne di nuovi. «Abbiamo notato che, quando Safegres viene eseguito nella CI e nei controlli di GitHub, gli agenti di coding che possono vedere i risultati rilevano le variazioni nei punteggi di sicurezza e prestazioni e risolvono i problemi da soli», ha detto Dan Lynch, fondatore e CEO di Constructive. Ha aggiunto: «Questo trasforma lo strumento di verifica in un ciclo di feedback per creare valutazioni e agenti che si migliorano autonomamente».

Safegres è open source con licenza MIT e funziona con qualsiasi database PostgreSQL e con le comuni pipeline CI. Safegres fa parte di un toolkit open source più ampio, che comprende anche pgpm, per organizzare il codice Postgres in pacchetti, e pgsql-test, per eseguire test su un database reale.