A Grok Build kódolóügynök tízezernyi nyitott projektből szivárogtatott bizalmas adatokat
A Claroc biztonsági cég kutatása szerint a SpaceXSI Grok Build kódolóügynöke ezrével szivárogtat felhasználói adatokat, köztük üzleti titkokat. A platform megosztható alkalmazáslinkjei véletlenszerű URL-lel próbálják korlátozni a hozzáférést, egy tervezési döntés azonban lehetővé tette, hogy bárki végigjárja a nyilvános projekteket: a kutatók mintegy 35 ezer Grok Build-alkalmazást találtak nyitva. A linkre kattintva ritka kivételektől eltekintve az app és a hozzá tartozó összes adat láthatóvá válik.
A kikerült anyagok között belső üzleti tervek, hirdetési ajánlatok, orvosi vizsgálati eredmények, egy hírességeket szállító hajótársaság konyhai ellenőrzőlistái, valamint munkavállalói nevek és azonosítók szerepelnek. Ironikus módon a SpaceXSI — a SpaceX és az xAI egyesüléséből létrejött, Elon Musk érdekeltségébe tartozó cég, amely a szolgáltatást kínálja — saját, legalább 24 alkalmazásából is szivárgott bizalmas tartalom: többek között egy bizalmasnak jelölt beléptetési terv a vállalati értékesítési csapat új tagjának, 594 fiókot tartalmazó értékesítési területi térkép, belső rendszercímek és reklámjavaslatok. A Claroc vasárnap értesítette a céget; válasz híján X-en címkézte Muskot és a Grok menedzserét, Matt Palmert. Az Ars Technica cikkének megjelenésekor szinte minden adat elérhető maradt, egy kivétellel: a 24 SpaceXSI-app hétfő este még nyitva volt, a lap kérdései után órákon belül eltávolították a linkeket, ezekre „app not found” üzenet érkezett.
Érintettek Fortune 500-as cégek és egy védelmi beszállító felhasználói is. Asaf Aprozper, a Claroc társalapító-műszaki igazgatója értesíti a cégeket; egy luxushajós társaság biztonsági vezetője a teljes biztonsági csapatot bevonva kezdte kezelni a kitettséget. A Grok Build-linkek bal oldalán két vagy több „kockaszó” áll (például cinder-crane-sand-frost.grok.me), a jobb oldalon a grok.me tartomány. Három véletlen szó elvben mintegy 38 bit entrópiát adna, de a véletlenség a tartománynév előtt van, ezért passzív DNS-szolgáltatásokkal a címek felsorolhatók.