Дослідники компанії з кібербезпеки Claroc виявили проблему в Grok Build — інструменті, який створює застосунки за текстовими запитами за допомогою ШІ. Через особливості формування посилань сторонні люди могли відкривати десятки тисяч застосунків без авторизації. Серед доступних матеріалів дослідники знайшли внутрішні документи SpaceXSI, рекламні пропозиції для клієнтів X і персональні дані працівників інших організацій.
Під час перевірки фахівці Claroc протестували понад 43 тисячі адрес застосунків Grok. Із 37 571 активного застосунку 35 578 відкривалися без входу в акаунт. За оцінками дослідників, приблизно 2% перевірених матеріалів містили інформацію з високим або критичним рівнем конфіденційності.
Серед матеріалів SpaceXSI та X дослідники виявили план адаптації нового працівника, карту розподілу 594 стратегічних клієнтських акаунтів, вісім рекламних пропозицій X, чотири робочі панелі рекламодавців і два примірники документа з правилами безпеки брендів у рекламі. Лише один із цих застосунків вимагав пароль для доступу.
Причиною витоку став спосіб формування посилань у Grok Build. Система створювала адреси з чотирьох випадкових слів і розміщувала їх перед основним доменом сайту. Через це спеціальні сервіси DNS, які зберігають інформацію про інтернет-адреси, могли фіксувати такі посилання в загальнодоступних базах. Це дозволяло знаходити застосунки навіть без отримання посилання від їхніх авторів.
Claroc назвала такі сторінки GhostShares — посиланнями, які можна знайти й відкрити без запрошення від власника.
Після цього SpaceXSI закрила доступ до 24 власних застосунків. Водночас, за інформацією Claroc на момент публікації дослідження, компанія не закрила інші застосунки, через які сторонні люди могли переглядати дані організацій.
Випадок показує ризики використання ШІ для створення внутрішніх бізнес-інструментів. Компаніям, які працюють із Grok Build, варто перевірити налаштування доступу до опублікованих застосунків, особливо якщо вони містять клієнтські бази, рекламні плани, фінансову інформацію або персональні дані працівників.
Джерело: Engadget
