Claroc зерттеушілері Grok Build сервисінде құпия деректердің жылыстағанын анықтады

Ars Technica хабарлауынша, Claroc киберқауіпсіздік компаниясының сарапшылары SpaceXSI компаниясына тиесілі Grok Build ЖИ-агентінде (AI agent) осалдық тапты. Қараша айында белгілі болған бұл ақау салдарынан мыңдаған пайдаланушы мен ұйымдардың, соның ішінде SpaceXSI-дің өзінің ішкі құпия құжаттары ашық қолжетімділікте қалып қойған.

Grok Build — код жазуға арналған жасанды интеллект (ЖИ) құралы. Ол пайдаланушыларға веб-қосымшаларды жылдам әзірлеп, арнайы веб-сілтеме арқылы оларды сынақтан өткізуге немесе бөлісуге мүмкіндік береді. Сервис әзірлеушілері бұл сілтемелерді бөгде адамдар болжай алмайтындай етіп қорғауды көздеген. Дегенмен, мекенжайды қалыптастыру кезіндегі қателік салдарынан кез келген адам пассивті DNS (passive DNS) сервистері арқылы ашық жобаларды тауып алатын жағдай қалыптасты.

Claroc компаниясының негізін қалаушы әрі техникалық директоры Asaf Aprozper өткізген тексеру нәтижесінде grok.me доменіндегі 43 601 сілтеме анықталды. Олардың 35 мыңнан астамы немесе 95 пайызы ешқандай парольсіз, ашық күйде тұрған. Әдепкі баптаулар бойынша жасалған қосымшалар «сілтемесі бар кез келген адамға» қолжетімді болып шықты.

Жылыстаған ақпарат арасында келесідей маңызды деректер бар:

• Fortune 500 тізіміндегі компаниялар мен қорғаныс мердігерлерінің ішкі бизнес-жоспарлары;
• Медициналық тексеру нәтижелері мен қызметкерлердің сәйкестендіру нөмірлері;
• SpaceXSI компаниясының өзі жасаған 24 қосымшадағы сату тобының карталары, жаңа қызметкерлерді жұмысқа қабылдау жоспарлары және жарнамалық ұсыныстар.

Claroc сарапшылары бұл қауіп туралы SpaceXSI өкілдеріне және X желісінде хабарлаған. Ars Technica журналистері сауал жолдағаннан кейін ғана SpaceXSI өз қосымшаларына тосқауыл қойып, сілтемелерді бұғаттады.

Атап айтқанда, мұндай сілтеме тарату кемшіліктері Lovable, Bolt және Replit сияқты басқа да ЖИ-платформаларда кездеседі, бірақ Claroc өкілдерінің айтуынша, ең құпия корпоративтік деректер дәл осы Grok Build платформасында әшкереленген.