Grok Build հղումները բացահայտել են հազարավոր հավելվածներ, այդ թվում SpaceXSI-ի տվյալներ

Claroc-ը հայտնում է, որ Grok Build-ը՝ SpaceXSI-ի ծրագրավորման գործակալը, փոխանակվող հղումներով բացահայտել է հազարավոր օգտատերերի հավելվածներն ու տվյալները։ Հղումները պատահական բառակապակցություններ են օգտագործում, բայց նախագծման թերությունը այդ պատահականությունը դնում է դոմենի ձախ կողմում, ինչը թույլ է տալիս պասիվ DNS ծառայություններին թվարկել դրանք։ Claroc-ը հայտնում է, որ գտած 43,601 հղումներից ավելի քան 35,000-ը հանրային էին, իսկ սեղմումը բացում էր հավելվածներն ու պահված տվյալները։

Ինչ է հայտնաբերել Claroc-ը

Claroc-ը հայտնել է, որ բացահայտված տվյալների թվում են ներքին բիզնես պլանները, գովազդային առաջարկները, բժշկական հետազոտությունները, նավի խոհանոցի ստուգաթերթը և աշխատակիցների անուններն ու ID համարները։ Գտել է նաև SpaceXSI-ի 24 հավելված՝ գաղտնի ներգրավման պլան, 594 հաշիվների վաճառքի տարածքային քարտեզ, ներքին համակարգերի հասցեներ և գովազդային առաջարկներ։ Տուժածներից են՝ պերուական շինարարական ընկերություն՝ 3,784 աշխատողի բժշկական հետազոտություններով, Tesla-ի սպասարկման կենտրոնի գնահատականներ՝ 22 տեխնիկների անուններով, 108 մարդուց բաղկացած նավատորմի լոգիստիկ աջակցության ցուցակ, անձնակազմը անունով և ID-ով թվարկող շքեղ զբոսանավի ստուգաթերթ, մոտ 3,565 աշխատակցի առողջապահական ցուցակ, սարքավորումների նյութական ցուցակով գաղտնի մանրածախ առաջարկ, ավիատիեզերական և պաշտպանական խմբի բեռնատախտակ և HSE վերապատրաստման մատրիցա, մոտ 583 հնարավոր գնորդով տնաշինության վաճառքի զանգերի ցուցակ, 37 նախագծերի մոնիտոր՝ մալայզիական հոլդինգային ընկերության համար, մոտ 4,000 պատվերով ավտոտրանսպորտային գնանշման կետ և գաղտնի IP transit առաջարկ։

Ինչպես է աշխատում թերությունը

Grok Build-ի հղումները նախատեսված են հավելվածները արագ փոխանակելու համար։ Ձախ կողմում երկու կամ ավելի պատահականորեն ստեղծված «զառի բառեր» են, աջ կողմում՝ grok.me։ Claroc-ը հայտնել է, որ պատահականությունը դոմենի ձախ կողմում դնելը թույլ է տալիս պասիվ DNS ծառայություններին գրավել և որոնել նախկինում չտեսնված URL-ների հարցումները։ Երեք «զառի բառից» բաղկացած արտահայտությունը ունի մոտ 38 բիթ էնտրոպիա, բայց այդ տեղադրումը չեզոքացնում է նախատեսված պաշտպանությունը։ Google-ի ոճի հղումները պատահական տարրը դնում են ուղում, ինչը, Claroc-ի խոսքով, դրանք կպահի անտեսանելի պասիվ DNS որոնողների համար։

Արձագանքներ և ավելի լայն ռիսկ

Claroc-ը կիրակի ծանուցել է SpaceXSI-ին և հետո X-ում նշել Elon Musk-ին և Grok-ի ղեկավար Matt Palmer-ին։ SpaceXSI-ն ժամերի ընթացքում սկսել է հղումները հեռացնել՝ Ars Technica-ի հարցերից հետո, իսկ բոլոր 24 հավելվածների հղումները հրապարակման պահին վերադարձնում էին «հավելվածը չի գտնվել» սխալը։ Cursor-ի ներկայացուցիչը հայտնել է, որ Grok Build-ի հավելվածները լռելյայն մասնավոր են և ոչինչ չի դառնում հանրային, եթե ստեղծողը չի ընտրում փոխանակել այն, բայց Claroc-ի փորձարկումները հակասել են այդ պնդմանը։ Claroc-ը հայտնել է, որ Lovable-ը, Bolt-ը և Replit-ը ևս հավելվածներին տալիս են սեփական վեբ հասցեներ, ուստի նույն DNS գրառումները կարող են բացահայտել դրանք, թեև Grok-ն ուներ ամենազգայուն ընկերային տվյալները։ Ընկերությունը հայտնել է, որ Claude-ը, ChatGPT-ը և Gemini-ն հետևում են ավելի անվտանգ պրակտիկային՝ գաղտնի պատահականությունը պահելով URL-ի ուղում։ Claroc-ի համահիմնադիր CTO Asaf Aprozper-ը հայտնել է, որ ծանուցում է տուժած ընկերություններին, իսկ շքեղ զբոսանավային ընկերության անվտանգության թիմն արդեն աշխատում էր բացահայտումը զսպելու ուղղությամբ։ Grok Build-ի փոխանակվող հղումներ օգտագործողները պետք է ընտրեն «հրավիրել ուրիշներին» տարբերակը, եթե չեն մտադրվում հավելվածը լայնորեն հասանելի դարձնել։

Աղբյուրներ՝ Ars Technica