Grok Build-ის ბმულების გაზიარებამ ათასობით აპი გაამჟღავნა, მათ შორის SpaceXSI-ის მონაცემები

უსაფრთხოების კომპანია Claroc-ის თქმით, SpaceXSI-ის კოდის წერის აგენტმა Grok Build-მა გასაზიარებელი ბმულებით ათასობით მომხმარებლის აპი და მონაცემები გაამჟღავნა. ბმულები შემთხვევითი ფრაზებისგან შედგება, თუმცა დიზაინის ხარვეზი ამ შემთხვევითობას დომენის მარცხენა მხარეს ათავსებს, რაც პასიური DNS-ის სერვისებს მათი აღრიცხვის საშუალებას აძლევს. Claroc-ის თქმით, მის მიერ ნაპოვნი 43 601 ბმულიდან 35 000-ზე მეტი საჯარო იყო, და მათზე დაწკაპუნებით იხსნებოდა აპები და მათში შენახული მონაცემები.

რა აღმოაჩინა Claroc-მა

Claroc-ის თქმით, გამჟღავნებულ მონაცემებში შედიოდა შიდა ბიზნესგეგმები, სარეკლამო წინადადებები, სამედიცინო შემოწმების შედეგები, კრუიზის გალეის საკონტროლო სია და თანამშრომელთა სახელები და პირადი ნომრები. მან აღმოაჩინა SpaceXSI-ის მიერ შექმნილი 24 აპი, მათ შორის კონფიდენციალური ონბორდინგის გეგმა, 594 ანგარიშის გაყიდვების ტერიტორიის რუკა, შიდა სისტემის მისამართები და სარეკლამო წინადადებები. კომპანიამ ასევე ჩამოთვალა დაზარალებული ორგანიზაციები და მონაცემები, მაგალითად: პერუელი სამშენებლო კომპანია, რომელსაც 3 784 მუშის სამედიცინო შემოწმება აქვს; Tesla-ს სერვისცენტრების შეფასების ბარათები, სადაც 22 ტექნიკოსი სახელდება; საზღვაო ძალების ლოგისტიკური მხარდაჭერის სია 108 ადამიანით; ლუქს კრუიზის საკონტროლო სია, სადაც ეკიპაჟი სახელითა და თანამშრომლის ID-ითაა ჩამოთვლილი; ჯანდაცვის სექტორის თანამშრომელთა სია დაახლოებით 3 565 ადამიანით; კონფიდენციალური საცალო წინადადება ტექნიკის შემადგენლობის ნუსხით; აეროკოსმოსური და თავდაცვითი ჯგუფის ტვირთების დაფა და HSE-ტრენინგების მატრიცა; სახლების მშენებლობის გაყიდვების ზარების სია დაახლოებით 583 პოტენციურ კლიენტთან; მალაიზიური ჰოლდინგური კომპანიის პროექტების მონიტორი 37 განაშენიანებისთვის; ავტომობილების გადაზიდვის ფასების დესკი დაახლოებით 4 000 შეკვეთით; და კონფიდენციალური IP-ტრანზიტის წინადადება.

როგორ მუშაობს ხარვეზი

Grok Build-ის ბმულები იმისთვისაა განკუთვნილი, რომ დეველოპერებმა აპები სწრაფად გააზიარონ. მარცხენა ნაწილი ორ ან მეტ შემთხვევით გენერირებულ სიტყვას შეიცავს, მარჯვენა კი grok.me-ია. Claroc-ის თქმით, რადგან შემთხვევითობა დომენის მარცხენა მხარესაა, პასიური DNS-ის სერვისებს შეუძლიათ ადრე უნახავი URL-ების მოთხოვნების დაფიქსირება და ძიება. მან აღნიშნა, რომ სამი ასეთი სიტყვისგან შემდგარ ფრაზას დაახლოებით 38 ბიტი ენტროპია აქვს, თუმცა ასეთი განლაგება აუქმებს განზრახულ დაცვას. Google-ის სტილის ბმულები შემთხვევით ელემენტს ბილიკში ათავსებენ, რაც, Claroc-ის თქმით, მათ პასიური DNS-ის მაძიებლებისთვის უხილავს გახდიდა.

პასუხები და უფრო ფართო რისკი

Claroc-მა SpaceXSI-ს კვირას აცნობა, მოგვიანებით კი X-ზე ილონ მასკი და Grok-ის მენეჯერი მეტ პალმერი მონიშნა. SpaceXSI-მ ბმულების წაშლა დაიწყო Ars Technica-ს კითხვების გაგზავნიდან რამდენიმე საათში, ხოლო პუბლიკაციის დროს 24-ვე აპის ბმული შეცდომას „app not found“ აბრუნებდა. Cursor-ის წარმომადგენელმა თქვა, რომ Grok Build-ის აპები ნაგულისხმევად პირადია და არაფერი ხდება საჯარო, თუ შემქმნელი თავად არ აირჩევს გაზიარებას; თუმცა Claroc-ის ტესტები ამ განცხადებას ეწინააღმდეგებოდა. Claroc-ის თქმით, Lovable, Bolt და Replit ასევე აძლევენ აპებს საკუთარ ვებმისამართებს, ამიტომ იგივე DNS ჩანაწერებმა შეიძლება ისინიც გაამჟღავნოს, თუმცა Grok-ს ჰქონდა ყველაზე სენსიტიური კორპორატიული მონაცემები. მან აღნიშნა, რომ Claude, ChatGPT და Gemini უფრო უსაფრთხო პრაქტიკას მიჰყვებიან და საიდუმლო შემთხვევითობას URL-ის ბილიკში ინახავენ. Claroc-ის თანადამფუძნებელმა და CTO-მ ასაფ აპროზპერმა განაცხადა, რომ დაზარალებულ კომპანიებს აცნობებს, ლუქს კრუიზის კომპანიის უსაფრთხოების გუნდი კი უკვე მუშაობდა გამჟღავნების შესაზღუდად. ვინც Grok Build-ის გასაზიარებელ ბმულებს იყენებს, უნდა აირჩიოს „invite others“ პარამეტრი, თუ აპის ფართოდ გავრცელებას განზრახ არ აპირებს.

წყაროები: Ars Technica