- Что произошло: Исследователи обнаружили, что тысячи приложений, созданных с помощью Grok Build от SpaceXSI, были доступны без аутентификации, что привело к утечке конфиденциальных данных.
- Ключевой показатель: Из 37 571 проанализированного приложения 35 578 были открыты для общего доступа, включая 24 приложения, разработанные самой SpaceXSI.
- Кто затронут: Пользователи Grok Build, включая SpaceXSI, чьи внутренние бизнес-планы, рекламные предложения и личные данные сотрудников оказались в открытом доступе.
Компания SpaceXSI, объединяющая SpaceX и xAI, столкнулась с серьезной проблемой безопасности, связанной с ее платформой для разработки приложений Grok Build. Новое исследование, проведенное фирмой по безопасности Claroc, выявило, что тысячи приложений, созданных с помощью Grok Build, были доступны для публичного просмотра без какой-либо аутентификации, что привело к утечке большого объема конфиденциальной информации.
Масштаб утечки данных Grok Build
Согласно отчету Claroc, опубликованному 10 ноября, из 37 571 приложений, разработанных на Grok Build, 35 578 были доступны онлайн без необходимости входа в систему. Это означает, что любой, кто знал точный URL-адрес приложения, мог получить к нему доступ. Изначально Grok Build использовал рандомизированные URL-адреса, чтобы ограничить доступ, но ошибка в дизайне платформы позволила перечислять эти проекты, обходя меры безопасности.
В число этих открытых приложений вошли 24, разработанные сотрудниками самой SpaceXSI. Среди данных, обнаруженных в этих приложениях, были:
- Конфиденциальный план адаптации для нового члена команды корпоративных продаж SpaceXSI.
- Карта территории продаж, содержащая 594 учетные записи.
- Внутренние системные адреса инструментов для команды продаж.
- Рекламные предложения.
Эти находки подчеркивают уязвимость даже собственных систем компании, предлагающей платформу.
Типы раскрытых данных
Утечка затронула не только внутренние данные SpaceXSI, но и информацию тысяч других пользователей. Исследование Claroc показало, что среди раскрытых данных были:
- Внутренние бизнес-планы.
- Предложения по рекламе.
- Результаты медицинских обследований.
- Контрольные списки камбуза от круизной линии знаменитостей.
- Имена сотрудников и идентификационные номера.
Хотя большинство открытых приложений представляли собой игры, целевые страницы и калькуляторы, примерно 1 из 10 содержал конфиденциальную внутреннюю информацию или другие чувствительные данные. Ранее в этом году также сообщалось о случаях, когда агенты ИИ использовались для бронирования авиабилетов, что также поднимало вопросы безопасности и регулирования.
| Показатель | Значение |
|---|---|
| Общее количество проанализированных приложений | 37 571 |
| Количество общедоступных приложений | 35 578 |
| Процент общедоступных приложений | ~94.7% |
| Приложения, разработанные SpaceXSI | 24 |
| Приложения с конфиденциальными данными | ~10% от общедоступных |
Этот инцидент подчеркивает критическую важность тщательного аудита безопасности для платформ разработки, особенно тех, которые обрабатывают конфиденциальные данные. Для разработчиков и компаний, использующих такие инструменты, как Grok Build, это служит напоминанием о необходимости двойной проверки настроек конфиденциальности и прав доступа. Даже если платформа заявляет о мерах безопасности, конечная ответственность за защиту данных часто лежит на разработчике приложения. Инцидент также поднимает вопросы о прозрачности и стандартах безопасности в быстро развивающейся сфере ИИ-инструментов и агентов, таких как Grok.
Очень тревожная ситуация с Grok Build. Меня интересует, как именно была допущена такая масштабная ошибка в дизайне платформы, которая позволила перечислять проекты, обходя меры безопасности? И существуют ли какие-то стандарты или обязательные аудиты безопасности для подобных платформ, чтобы предотвратить такие утечки в будущем?