Утечка данных в Grok Build
Согласно новому исследованию компании Claroc, ИИ-агент для кодинга Grok Build, разработанный SpaceXSI, допускает утечку конфиденциальной бизнес-информации и чувствительных данных тысяч пользователей, включая саму компанию Илона Маска. Исследователи обнаружили, что 35 000 приложений Grok Build оказались общедоступны для любого, кто мог их обнаружить.
Причины и детали уязвимости
Проблема связана с тем, как платформа генерирует ссылки для обмена приложениями. Пакет рандомизации URL, призванный скрывать данные, был реализован разработчиками платформы таким образом, что позволяет перечислять тысячи живых проектов Grok Build. В отличие от корректных практик Google, где случайная часть находится справа от домена, у Grok Build случайные слова расположены слева, что делает ссылки видимыми для пассивных DNS-сервисов.
Обнаруженные данные и позиция сторон
Среди утечек Claroc зафиксировала внутренние бизнес-планы, предложения по рекламе, медицинские результаты и списки сотрудников. В частности, пострадали 24 приложения самой SpaceXSI, включая конфиденциальный план онбординга. Представитель компании Cursor, приобретенной SpaceXSI, заявил, что приложения приватны по умолчанию и данные не публикуются без выбора создателя. Тесты соучредителя Claroc Асафа Апрозпера опровергают это утверждение, показывая, что по умолчанию выставлен публичный доступ.
Статус и реакция
Claroc уведомила SpaceXSI в воскресенье, а после отсутствия ответа опубликовала данные в X. SpaceXSI начала удалять ссылки после запроса СМИ, и к моменту публикации материалы из 24 приложений компании вернули ошибку «app not found». Процесс уведомления других затронутых организаций продолжается.
Первоисточник: https://arstechnica.com/security/20...confidential-info-some-belonging-to-spacexsi/
