عامل برنامه نویسی Grok Build ایلان ماسک حجم زیادی از داده های محرمانه را افشا می کند

محققان دریافتند که برنامه‌های Grok Build به دلیل تنظیمات ناامن اشتراک‌گذاری پیش‌فرض و آدرس‌های اینترنتی قابل شناسایی، به‌طور گسترده‌ای در معرض دید قرار گرفته‌اند.

هزاران برنامه در دسترس اطلاعات حساس تجاری، سوابق مراقبت های بهداشتی، رمز عبور و اسناد داخلی را فاش کردند.

SpaceXSI پس از افشای این مشکل را برطرف کرد و خطرات امنیتی را در پلتفرم‌های کاربردی تولید شده توسط هوش مصنوعی برجسته کرد. Grok Build، یک عامل کد نویسی مبتنی بر هوش مصنوعی که توسط SpaceXSI ایلان ماسک ساخته شده است، به دلیل پیکربندی نادرست در نحوه انتشار محصولات در این پلتفرم، مشخص شده است که حجم زیادی از داده های محرمانه را افشا می کند.

SpaceXSI که با ادغام SpaceX و xAI تأسیس شد، محصولی به نام Grok Build دارد که به کاربران اجازه می‌دهد تا با توصیف آنچه می‌خواهند در یک رابط چت مانند، برنامه‌های وب ایجاد کنند. بدون نیاز به نوشتن هیچ کدی، کاربران می توانند در عرض چند دقیقه یک برنامه آماده داشته باشند و آن را مستقیما از رابط چت منتشر کنند. این برنامه یک آدرس وب منحصر به فرد با فرمت .grok.me دریافت می کند که در آن "name" معمولا از چهار کلمه تصادفی تشکیل شده است. این چیزی شبیه به یک ویژگی حفظ حریم خصوصی است، برای اطمینان از اینکه افراد نمی توانند به راحتی مکان برنامه را حدس بزنند.

اما به گفته محققان امنیتی کلاروک، این آدرس‌ها را می‌توان از طریق سرویس‌های DNS غیرفعال که نام‌های دامنه مشاهده شده در ترافیک DNS را جمع‌آوری و فهرست‌بندی می‌کنند، پیدا کرد. به عبارت دیگر، هر کسی می‌تواند یک برنامه منتشر شده را پیدا کند، حتی اگر سازنده‌اش (یا هیچ کس دیگری) پیوندی را برای آن به اشتراک گذاشته باشد. همانطور که کلاروک در گزارش خود توضیح داد، محققان دقیقا این کار را انجام دادند و 43601 آدرس را تحت grok.me شناسایی کردند.

برنامه های باز شده

اما پیدا کردن برنامه شخصی نباید مشکل بزرگی باشد، درست است؟ این برنامه ها همه با رمز عبور محافظت می شوند، درست است؟ خب اشتباهه

محققان دریافتند که تقریبا همه برنامه ها (35578 یا 94.7٪) بدون احراز هویت قابل دسترسی هستند. این بدان معنی است که هر داده ای که آنها در اختیار داشتند و تولید می کردند تقریبا بدون هیچ مشکلی قابل دسترسی بود. تحقیقات بیشتر نشان داد که یک نظارت بزرگ وجود دارد - وقتی کاربران می‌خواهند برنامه‌ای را منتشر کنند، سه گزینه حفظ حریم خصوصی به آنها پیشنهاد می‌شود: «هر کسی که پیوند را دارد»، «کاربران دعوت شده» و «فقط شما». زمانی که می‌خواهید سندی را به اشتراک بگذارید، مانند Google Docs این کار را انجام می‌دهد.

به گفته کلاروک، مشکل در اینجا این است که «هر کسی که پیوند دارد» به عنوان گزینه پیش‌فرض تنظیم شده است، که نشان می‌دهد اکثر افرادی که برنامه‌ها را روی Grok می‌سازند به سادگی به گزینه‌های حفظ حریم خصوصی و اشتراک‌گذاری توجه نمی‌کنند.

اما با این حال، دسترسی ساده به یک برنامه لزوما نباید یک فاجعه امنیتی باشد، درست است؟ این فقط یک برنامه است، درست است؟ خب بازم اشتباه در حالی که بیشتر برنامه‌ها از این نظر «بی‌ضرر» بودند (بازی‌ها، ماشین‌حساب‌ها، صفحات فرود)، یکی از ده‌ها حاوی اطلاعات حساس یا داخلی کسب‌وکار بود و ۲ درصد آن‌ها اطلاعاتی را در معرض دید قرار می‌دادند که به اندازه‌ای جدی باشد که رتبه‌بندی با شدت بالا یا بحرانی را تضمین کند.

درز اطلاعات

کلاروک فهرستی از کارکنان بیمارستان با بیش از 3500 نام، یک جلسه توجیهی مراقبت های ویژه حاوی اطلاعات بیمار و پایگاه داده استخدام یک شرکت حمل و نقل با بیش از 1000 نفر پیدا کرد. همچنین یک برگه زمانی کارمند پیدا کرد که کد قابل دانلود آن حاوی 18 حساب کاربری با گذرواژه متن ساده، از جمله اعتبارنامه‌های سرپرست بود.

حتی SpaceXSI نیز اطلاعات طبقه بندی شده خود را از این طریق فاش می کرد. محققان 24 برنامه باز شامل برنامه‌های ورود، فهرست اسامی کارمندان، نقشه منطقه فروش تقریبا 600 حساب استراتژیک و خط لوله آنها، برنامه‌های رسانه‌ای و عرشه‌های تبلیغاتی (همگی با ردیف‌های بودجه، از جمله یکی برای آژانس فدرال ایالات متحده که به عنوان محرمانه مشخص شده است)، هفت گزارش کمپین برای تبلیغ‌کنندگان در سراسر جهان، و بسیاری موارد دیگر پیدا کردند. محققان یک برنامه انفرادی، بایگانی از مطالعات اندازه‌گیری تبلیغات یک سرویس استریم، پیدا کردند که رمز عبور می‌خواست. همه چیز دیگر کاملا باز مانده بود.

کلاروک همچنین آزمایش کرد تا ببیند آیا می‌تواند داده‌های موجود در این برنامه‌ها را تغییر دهد یا خیر و دو برنامه خود را برای آزمایش تئوری ساخت. یکی به بازدیدکنندگان احراز هویت نشده اجازه داد تا پایگاه داده مشترک مخاطبین را تغییر دهد، در حالی که دیگری به طور خودکار به هر کسی که با حساب Google وارد می‌شود (حتی اگر عضوی از تیم نباشد) اجازه دسترسی داد.

محققان در 8 نوامبر به SpaceXSI درباره یافته‌های خود اطلاع دادند و در عرض دو روز دیگر همه برنامه‌های SpaceXSI در دسترس نبودند. آنها اکنون در حال بررسی لیست هستند و به دیگران اطلاع می دهند.

از طریق Ars Technica