Вразливість у Grok Build від SpaceXSI
Безпекова компанія Claroc виявила значну вразливість у сервісі вайбкодингу Grok Build від SpaceXSI, що дозволяє відкритий доступ до даних тисяч користувачів через публічні посилання. Згідно з дослідженням, Claroc знайшла 43,6 тисячі посилань на домені grok.me, з яких понад 35 тисяч (майже 95%) є публічними. За замовчуванням Grok Build надає доступ до своїх проєктів для будь-кого, хто має посилання.
Виявлені відкриті проєкти
Серед виявлених відкритих проєктів було:
- 24 застосунки SpaceXSI, які утворені в результаті злиття SpaceX та xAI.
- Конфіденційні дані, такі як план адаптації нового менеджера з корпоративних продажів, карта територій на 594 клієнти та рекламні пропозиції.
- Рейтинг сервісного центру Tesla, що містив бонуси 22 техніків.
- Список 108 працівників підрядника ВМС США.
- 3784 результати медоглядів перуанської будівельної компанії.
- Дані 3565 співробітників лікарні.
Claroc повідомила про цю проблему SpaceXSI в неділю. Після відсутності відповіді з боку компанії, Claroc позначила в соціальній мережі X Ілона Маска та керівника Grok Метта Палмера. Застосунки SpaceXSI були видалені з публічного доступу всього за кілька годин після запиту Ars Technica. Представник сервісу Cursor спростував заяви про те, що застосунки Grok Build за замовчуванням є приватними. Тести технічного директора Claroc Асафа Апрозпера підтверджують, що вказана інформація не відповідає дійсності.
Випадкові слова для захисту від підбору в Grok Build розміщуються ліворуч від домену, що призводить до їх потрапляння в публічні бази пасивного DNS. Це контрастує з практиками конкурентів, таких як Claude, ChatGPT і Gemini, які ставлять випадкову частину після домену, що робить її невидимою для DNS. Як зазначила Claroc,
“компанія, яка створює Grok, мала власні внутрішні матеріали, відкриті для будь-кого з посиланням, і нам його ніколи не давали”.
Виявлення вразливості в Grok Build підкреслює важливість забезпечення конфіденційності даних в епоху цифрових технологій. Відкритий доступ до чутливих даних може призвести до серйозних наслідків, як для компаній, так і для користувачів. Ця ситуація також ставить під сумнів методи безпеки, які використовуються в інших аналогічних сервісах, і може спонукати компанії переглянути свої підходи до захисту даних. Подальші дії SpaceXSI у відповідь на цю ситуацію можуть стати важливим прецедентом для інших технологічних компаній у питаннях безпеки даних.
Цей інцидент з витоком даних нагадує про інші випадки, коли технологічні компанії виявлялися в епіцентрі скандалів щодо конфіденційності. Наприклад, ізраїльська компанія Discover-Tech відстежувала користувачів Starlink у понад 100 країнах, включаючи заборонені. Ці ситуації підкреслюють важливість безпеки даних у сучасному цифровому світі.