Специалисты по безопасности из Claroc обнаружили, что приложения, созданные в ИИ-конструкторе Grok Build, массово раскрывали конфиденциальные данные. Причина — настройки доступа по умолчанию и адреса, которые легко найти.
Grok Build принадлежит компании SpaceXSI, появившейся после слияния SpaceX и xAI Илона Маска. Сервис позволяет описать нужное веб-приложение в чате и опубликовать его за несколько минут, не написав ни строчки кода. Каждое приложение получает адрес вида «имя».grok.me, где имя обычно состоит из четырёх случайных слов, — предполагалось, что угадать такой адрес невозможно.
Угадывать и не пришлось. Адреса нашлись в сервисах пассивного DNS, которые собирают доменные имена из DNS-трафика. Так исследователи насчитали 43 601 адрес на grok.me, и 35 578 приложений открывались без всякой авторизации. Дело в том, что при публикации по умолчанию выбран вариант «Anyone with the link» («Все, у кого есть ссылка»), и большинство пользователей его просто не меняли.
Большая часть найденного безобидна: игры, калькуляторы, лендинги. Но каждое десятое приложение содержало внутренние данные компаний, а 2% получили высокую или критическую оценку опасности. Среди находок:
справочник сотрудников больницы на 3 500 с лишним имён;
сводка из отделения интенсивной терапии с данными пациентов;
база кандидатов транспортной компании на 1 000 с лишним человек;
табель учёта рабочего времени, в коде которого лежали 18 учётных записей с паролями открытым текстом, включая администраторские.
Не убереглась и сама SpaceXSI: 24 её открытых приложения содержали планы адаптации новых сотрудников, списки персонала, карту продаж почти по 600 ключевым клиентам, медиапланы и рекламные презентации, в том числе с пометкой о конфиденциальности для одного из федеральных ведомств США. Пароль запросило лишь одно приложение. Исследователи также проверили, можно ли данные менять: в одном тестовом приложении посторонний мог править общую базу контактов, в другом доступ получал любой, кто входил через Google-аккаунт.
Claroc сообщила о проблеме SpaceXSI 8 ноября, и через два дня все приложения самой компании стали недоступны. Остальных владельцев уязвимых приложений исследователи сейчас уведомляют по списку. Справедливости ради, виноваты тут не только пользователи, не заглянувшие в настройки: открытый доступ по умолчанию для сервиса, где приложения делают люди без опыта разработки, — сомнительное решение.
Источник: TechRadar
Комментарии
Войдите на сайт, чтобы оставить свой комментарий...