مشاركة روابط Grok Build كشفت آلاف التطبيقات، بما في ذلك بيانات SpaceXSI

تقول شركة Claroc إن Grok Build، وهو وكيل برمجة من SpaceXSI، كشف تطبيقات وبيانات آلاف المستخدمين من خلال روابط قابلة للمشاركة. تستخدم الروابط عبارات عشوائية، لكن خللاً في التصميم يضع هذه العشوائية إلى يسار النطاق، ما يسمح لخدمات DNS السلبي بتعدادها. قالت Claroc إن أكثر من 35,000 من 43,601 رابطاً عثرت عليه كانت عامة، وفتحها عرض التطبيقات وبياناتها المخزنة.

ما وجدته Claroc

قالت Claroc إن البيانات المكشوفة شملت خططاً تجارية داخلية، ومقترحات إعلانية، ونتائج فحوصات طبية، وقائمة تفقد لمطبخ سفينة، وأسماء موظفين وأرقام هوياتهم. وعثرت على 24 تطبيقاً بناها SpaceXSI، بينها خطة إدماج سرية، وخريطة مناطق بيع لـ 594 حساباً، وعناوين أنظمة داخلية، ومقترحات إعلانية. كما سردت Claroc المنظمات والبيانات المتأثرة، مثل شركة بناء بيروفية مع 3,784 فحصاً طبياً للعمال، وبطاقات تقييم لمراكز خدمة Tesla تذكر 22 فنياً، وقائمة دعم لوجستي للبحرية تضم 108 أشخاص، وقائمة تفقد لسفينة رحلات فاخرة تسرد الطاقم بالاسم ورقم الموظف، وقائمة موظفي رعاية صحية تضم نحو 3,565 موظفاً، ومقترح تجزئة سري مع قائمة مواد أجهزة، ولوحة تحميل ومصفوفة تدريب HSE لمجموعة للطيران والفضاء والدفاع، وورقة مكالمات مبيعات بناء منازل تضم نحو 583 عميلاً محتملاً، ومراقب مشروع لشركة قابضة ماليزية يغطي 37 مشروعاً، ومكتب عروض أسعار لنقل السيارات يضم نحو 4,000 طلب، ومقترح عبور IP سري.

كيف يعمل الخلل

روابط Grok Build مصممة لتمكين المطورين من مشاركة التطبيقات بسرعة. يحتوي الجانب الأيسر على كلمتين أو أكثر من «كلمات نرد»، بينما الجانب الأيمن هو grok.me. قالت Claroc إن وضع العشوائية إلى يسار النطاق يتيح لخدمات DNS السلبي التقاط عمليات بحث عن عناوين URL لم تُرَ من قبل والبحث فيها. وقالت إن عبارة من ثلاث كلمات عشوائية تحمل نحو 38 بتاً من الإنتروبيا، لكن الموضع يبطل الحماية المقصودة. تضع الروابط على نمط Google العنصر العشوائي في المسار، وهو ما قالت Claroc إنه يبقيها غير مرئية لباحثي DNS السلبي.

الردود والمخاطر الأوسع

أبلغت Claroc SpaceXSI يوم الأحد، ثم وسمت Elon Musk وMatt Palmer، مدير Grok، على X. بدأت SpaceXSI إزالة الروابط خلال ساعات بعد أن أرسل Ars Technica أسئلة، وبحلول وقت النشر عادت روابط التطبيقات الـ24 كافة بخطأ «app not found». قال ممثل من Cursor إن تطبيقات Grok Build خاصة افتراضياً ولا يُنشر أي شيء للعامة إلا إذا اختار المنشئ مشاركته، لكن اختبارات Claroc تناقضت مع ذلك القول. قالت Claroc إن Lovable وBolt وReplit تعطي التطبيقات عناوين ويب خاصة بها، لذلك يمكن لسجلات DNS نفسها كشفها، رغم أن Grok احتوى على أكثر بيانات الشركات حساسية. وقالت إن Claude وChatGPT وGemini تتبع الممارسة الأكثر أماناً عبر إبقاء العشوائية السرية في مسار URL. قال Asaf Aprozper، المؤسس المشارك ومدير التقنية في Claroc، إنه يخطر الشركات المتأثرة، وأن فريق أمن شركة الرحلات الفاخرة كان يعمل بالفعل على احتواء التعرض. يجب على أي شخص يستخدم روابط قابلة للمشاركة مع Grok Build اختيار خيار «invite others» ما لم ينوِ جعل تطبيق متاحاً على نطاق واسع.

المصادر: Ars Technica