W Grok Build wykryto lukę umożliwiającą dostęp do danych — Engadget

Luka w agencie vibe-codingowym Grok Build mogła umożliwić dostęp do wrażliwych danych tysięcy użytkowników, w tym wewnętrznych materiałów SpaceXSI. Poinformowała o tym firma bezpieczeństwa Claroc, jak podaje Engadget.

Jak linki stały się dostępne

Według ustaleń badaczy Claroc, Grok Build tworzył linki do aplikacji z losowymi czterowyrazowymi frazami i do 38 bitami entropii. Jednocześnie ta część adresu znajdowała się po lewej stronie domeny, a nie po prawej, jak w Gemini od Google.

Z powodu takiej konstrukcji adresy mogły być rejestrowane przez pasywne serwery DNS. Następnie trafiały do ogólnodostępnych baz danych, gdzie mogły je znaleźć osoby, którym pierwotnie nie wysłano linków. Badacze nazwali takie strony GhostShares.

Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.

Jakie materiały były dostępne

Wśród wykrytych materiałów SpaceXSI znalazły się plan wdrożenia nowych pracowników, schemat terytoriów sprzedaży dla 594 strategicznych kont, osiem propozycji reklamowych w X, cztery aktywne panele kont reklamodawców oraz dwie kopie przewodnika X po bezpieczeństwie marki. Hasła wymagała tylko jedna z wykrytych aplikacji.

Claroc poinformowała również, że wśród organizacji, których dane mogły być dostępne, sześć znajdowało się na liście Fortune 500, a 26 miało ponad 1 000 pracowników. Według szacunków badaczy około 2% wykrytych aplikacji zawierało materiały o wysokim lub krytycznym poziomie wrażliwości.

Firma przekazała wyniki SpaceXSI i innym poszkodowanym organizacjom. Według Claroc część z nich szybko ograniczyła dostęp do aplikacji. SpaceXSI, jak twierdzą badacze, zareagowała po oznaczeniu Elona Muska i jeszcze jednego przedstawiciela firmy w X oraz usunęła z dostępu 24 własne aplikacje.