Grok Build відкрив доступ до внутрішніх даних SpaceXSI та тисяч користувачів: у чому небезпека
Через «дірку» в ШІ-агенті для вайб-кодингу Grok Build у відкритому доступі опинилися застосунки тисяч користувачів, серед них — внутрішні матеріали самої SpaceXSI, компанії-розробниці Grok. Проблему виявили дослідники безпеки компанії Claroc, пише Engadget.
Що потрапило у відкритий доступ через Grok
За даними Claroc, серед внутрішніх матеріалів SpaceXSI, доступних будь-кому з посиланням, були:
Підписуйтеся на наші соцмережі
- план адаптації нових працівників;
- карта зон продажу з 594 стратегічними клієнтами;
- вісім рекламних пропозицій для соцмережі X;
- чотири робочі панелі рекламодавців;
- дві копії внутрішнього посібника X з безпеки бренду.
Крім того, дослідники знайшли конфіденційні дані працівників мережі лікарень і пожежної служби. Серед постраждалих — ще шість компаній зі списку Fortune 500 і 26 організацій, у яких понад 1000 працівників. Лише один із відкритих застосунків вимагав пароль. За оцінкою Claroc, приблизно 2% знайдених матеріалів містили дані високого або критичного рівня чутливості.
Як стався витік даних у Grok Build
Grok Build створює посилання для поширення застосунків із чотирьох випадкових слів. Проблема в тому, що цю випадкову частину агент розміщує ліворуч від домену — як піддомен. Через це такі адреси фіксують сервери пасивного DNS, і вони потрапляють у публічні бази, де їх може знайти будь-хто. Gemini від Google, для порівняння, додає випадкову частину праворуч від домену.
Дослідники назвали такі сторінки GhostShares — їх можуть відкрити люди, яким посилання ніколи не надсилали. «Ми були шоковані», — написали в Claroc.
Як відреагувала SpaceXSI на витік у Grok
Claroc повідомила про проблему SpaceXSI та постраждалим компаніям. Частина з них швидко закрила доступ, але SpaceXSI, за словами дослідників, відреагувала лише після того, як вони позначили в X Ілона Маска та ще одного представника компанії.
Зрештою SpaceXSI прибрала 24 власні застосунки, однак, за даними Claroc, не зробила того самого із застосунками інших користувачів Grok. Офіційних коментарів компанія не дає.
Раніше ми писали, що Маск вирішив перейменувати SpaceXAI на SpaceXSI.