Grok Build link paylaşımı minlərlə tətbiqi, o cümlədən SpaceXSI məlumatlarını ifşa etdi

Təhlükəsizlik firması Claroc deyir ki, SpaceXSI tərəfindən hazırlanmış kodlaşdırma agenti Grok Build paylaşıla bilən linklər vasitəsilə minlərlə istifadəçinin tətbiqlərini və məlumatlarını ifşa edib. Linklər təsadüfi ifadələrdən istifadə edir, lakin dizayn qüsuru bu təsadüfiliyi domenin sol tərəfində yerləşdirir və bu, passiv DNS xidmətlərinə onları sıralamağa imkan verir. Claroc deyir ki, tapdığı 43,601 linkdən 35,000-dən çoxu ictimai olub və onlara klikləmək tətbiqləri və onların saxlanılmış məlumatlarını açıb.

Claroc nə tapdı

Claroc deyir ki, ifşa olunmuş məlumatlara daxili biznes planları, reklam təklifləri, tibbi müayinə nəticələri, kruiz gəmisinin mətbəx yoxlama siyahısı və işçilərin adları və ID nömrələri daxil olub. O, SpaceXSI tərəfindən qurulmuş 24 tətbiq tapıb; bunlara məxfi işə qəbul planı, 594 hesabı əhatə edən satış ərazisi xəritəsi, daxili sistem ünvanları və reklam təklifləri daxildir. Firma həmçinin təsirlənmiş təşkilatları və məlumatları sadalayıb: məsələn, 3,784 işçinin tibbi müayinəsi olan Peru tikinti şirkəti, 22 texnikin adı çəkilən Tesla servis mərkəzi qiymətləndirmə kartları, 108 nəfərlik Donanma logistika dəstəyi siyahısı, heyəti ad və işçi ID nömrəsi ilə göstərən lüks kruiz yoxlama siyahısı, təxminən 3,565 işçisi olan səhiyyə siyahısı, avadanlıq materiallar siyahısı olan məxfi pərakəndə satış təklifi, yükləmə lövhəsi və HSE təlim matrisi olan aerokosmik və müdafiə qrupu, təxminən 583 potensial müştərisi olan ev tikintisi satış zəng siyahısı, 37 layihə üçün Malayziya holding şirkəti layihə monitoru, təxminən 4,000 sifarişi olan avtonəqliyyat kotirovka masası və məxfi IP tranzit təklifi.

Qüsur necə işləyir

Grok Build linkləri tərtibatçılara tətbiqləri tez paylaşmaq üçün nəzərdə tutulub. Sol tərəfdə iki və ya daha çox təsadüfi yaradılmış 'dice words' yerləşir, sağ tərəf isə grok.me-dir. Claroc deyir ki, təsadüfiliyi domenin sol tərəfində yerləşdirmək passiv DNS xidmətlərinə əvvəllər görünməmiş URL-lər üçün axtarışları tutmağa və onları axtarmağa imkan verir. O deyir ki, üç 'dice words' ifadəsi təxminən 38 bit entropiyaya malikdir, lakin yerləşdirmə nəzərdə tutulmuş qorunmanı ləğv edir. Google üslublu linklər təsadüfi elementi yola yerləşdirir və Claroc deyir ki, bu, onları passiv DNS axtaranlar üçün görünməz saxlayar.

Cavablar və daha geniş risk

Claroc bazar günü SpaceXSI-yə bildiriş göndərib və daha sonra X-də Elon Musk və Grok meneceri Matt Palmer-i işarələyib. Ars Technica suallar göndərdikdən sonra SpaceXSI saatlar ərzində linkləri silməyə başlayıb və nəşr olunana qədər 24 tətbiqin hamısının linkləri 'app not found' xətası qaytarıb. Cursor nümayəndəsi deyib ki, Grok Build tətbiqləri standart olaraq gizlidir və yaradıcı onu paylaşmağı seçməsə, heç nə ictimai olmur, lakin Claroc-un testləri bu bəyanatı təkzib edib. Claroc deyir ki, Lovable, Bolt və Replit də tətbiqlərə öz veb ünvanlarını verir, ona görə eyni DNS qeydləri onları da ifşa edə bilər, lakin ən həssas şirkət məlumatları Grok-da olub. O deyir ki, Claude, ChatGPT və Gemini daha təhlükəsiz üsulla gedir: gizli təsadüfiliyi URL yolunda saxlayırlar. Claroc-un həmtəsisçisi və texniki direktoru Asaf Aprozper deyir ki, o, təsirlənmiş şirkətlərə bildiriş göndərir və lüks kruiz şirkətinin təhlükəsizlik komandası artıq ifşanı məhdudlaşdırmaq üzərində işləyir. Grok Build ilə paylaşıla bilən linklərdən istifadə edən hər kəs tətbiqi geniş əlçatan etmək niyyətində deyilsə, 'invite others' seçimini seçməlidir.

Mənbələr: Ars Technica