Grok Build zpřístupnil tisíce aplikací a důvěrných firemních údajů
Bezpečnostní výzkumníci upozornili, že odkazy na aplikace vytvořené v Grok Build lze vyhledávat pomocí veřejných DNS databází. Mezi odhalenými údaji byly interní dokumenty SpaceXSI i informace o zaměstnancích a zákaznících dalších firem.
Odkazy vedly k citlivým údajům
Bezpečnostní firma Claroc zjistila, že přes odkazy pro sdílení aplikací v nástroji Grok Build lze dohledat tisíce projektů. Po otevření odkazu se ve většině případů zobrazila aplikace i data, která obsahovala. Mezi nalezenými materiály byly obchodní plány, reklamní nabídky, výsledky zdravotních vyšetření, seznamy zaměstnanců nebo interní postupy.
Údaje se týkaly také samotné společnosti SpaceXSI, tedy sloučené SpaceX a xAI, která platformu nabízí. Claroc objevila 24 jejích aplikací s interními informacemi. Patřil mezi ně důvěrný plán zaškolení nového člena podnikového obchodního týmu, mapa obchodních oblastí se 594 účty, interní adresy systémů i reklamní návrhy.
Odhalené byly i údaje dalších firem
Výzkumníci popsali například přehled 3 784 zdravotních vyšetření pracovníků peruánské stavební firmy a hodnoticí tabulku servisního střediska Tesly se jmény 22 techniků a údaji o jejich produktivitě a bonusech. V aplikaci spojené s dodavatelem pro americké námořnictvo byl seznam 108 lidí pracujících na logistické zakázce.
Další nalezené materiály zahrnovaly seznam přibližně 3 565 zaměstnanců zdravotnické společnosti, důvěrnou nabídku IT firmy pro velkého maloobchodníka nebo evidenci asi 4 000 přeprav vozidel včetně cen a marží. U americké stavební firmy se objevily údaje o zhruba 583 zájemcích o bydlení, jejich rozpočtech a možnostech financování. Claroc uvedla také postupy pro budovu, kde se pracuje s výbušninami, v americkém závodě letecké a obranné skupiny.
Problém byl v umístění náhodné části odkazu
Odkazy Grok Build měly být obtížně uhodnutelné, protože obsahovaly náhodně vytvořená slova. Jejich umístění ale podle Claroc umožňovalo hledat odkazy v takzvaných pasivních DNS službách. Ty zaznamenávají dotazy na dříve neznámé adresy a ukládají je do veřejně prohledávatelných databází. Náhodná část odkazu byla před doménou grok.me, takže ji mohly tyto služby zachytit. U odkazů například na sdílené dokumenty Googlu je tajná část až za doménou.
Spoluzakladatel a technický ředitel Claroc Asaf Aprozper uvedl, že vyhledávání našlo 43 601 odkazů končících na grok.me. Více než 35 tisíc z nich podle něj bylo veřejně přístupných, téměř 95 procent. Testy podle něj ukázaly, že výchozí nastavení Grok Build umožňuje přístup „komukoli s odkazem“. Uživatelé mohou místo toho zvolit přístup pouze pro pozvané osoby nebo jen pro sebe.
Odkazy SpaceXSI odstranila
Claroc oznámila problém SpaceXSI v neděli. Když nedostala odpověď, upozornil její zástupce na riziko také na síti X a označil Elona Muska i manažera Grok Matthewa Palmera. Po dotazu Ars Technica začala SpaceXSI odkazy na svých 24 aplikací odstraňovat. V době zveřejnění článku už vracely chybové hlášení „app not found“.
Zástupce Cursoru, který SpaceXSI nedávno koupila, tvrdil, že aplikace Grok Build jsou soukromé, dokud je jejich autor sám nesdílí. To se podle testů Claroc neshodovalo s výchozím nastavením. Výzkumník upozornil, že podobnou možnost sdílení mají i nástroje Lovable, Bolt a Replit; také jejich webové adresy mohou být zachyceny v DNS záznamech. Nejcitlivější firemní data však Claroc nalezla právě v Grok Build. Uživatelům doporučila přepnout sdílení na pozvané osoby, pokud nechtějí aplikaci zpřístupnit komukoli s odkazem.