یک عامل کدگذاری گروک اطلاعات حساس SpaceXSI را فاش کرد

روشی که Grok پیوندهای برنامه‌ها را مدیریت می‌کند، به آنها اجازه می‌دهد به صورت عمومی در معرض دید قرار گیرند.

شرکت کلاهبرداری امنیتی کلاروک به Ars Technica گفت که یک نقص در عامل کدگذاری vibe Grok Build SpaceXSI باعث شد تا داده های حساس از هزاران کاربر از جمله... SpaceXSI به بیرون درز کند. به گفته تیم امنیتی، روشی که Grok پیوندها به برنامه ها را مدیریت می کند، به آنها اجازه می دهد تا توسط انواع خاصی از سرویس های DNS در معرض دید عموم قرار گیرند. در نتیجه، اطلاعات حساس مربوط به کارمندان از یک گروه بیمارستانی، یک سازمان آتش نشانی و خود SpaceXSI به بیرون درز کرد.

محققان در یک پست وبلاگی نوشتند: "ما شوکه شدیم." شرکت سازنده Grok مواد داخلی خود را برای هر کسی که پیوند را در اختیار دارد باز داشت. این شرکت صفحاتی مانند آن GhostShares را نامیده است، زیرا می توانند توسط افرادی که هرگز به آنها پیوند داده نشده است، پیدا و باز شوند.

برخی از مطالب یافت شده از SpaceXSI شامل یک طرح ورود، نقشه قلمرو فروش از 594 حساب استراتژیک، هشت X پیشنهاد تبلیغاتی، چهار تابلوی حساب تبلیغ‌کننده زنده و دو نسخه از کتاب ایمنی برند X بود. فقط یکی از برنامه های افشا شده رمز عبور درخواست کرد. شش شرکت دیگر که در معرض دید قرار گرفتند در فهرست 500 فورچون قرار داشتند و 26 شرکت بیش از 1000 کارمند داشتند. کلاروک می‌نویسد: «بر اساس برآورد ما تقریبا دو درصد مطالب را به اندازه کافی جدی می‌دانستند که رتبه‌بندی بالا یا انتقادی را داشته باشند.

مشکل در نحوه ایجاد لینک ها توسط Grok Build بود. اگرچه از "کلمات تاس" برای پیوند (عبارات چهار کلمه ای تولید شده به طور تصادفی) با حداکثر 38 بیت آنتروپی استفاده کرد، آن قسمت از پیوند را به جای سمت راست مانند Gemini گوگل در سمت چپ دامنه قرار داد. این اجازه می دهد تا پیوندها توسط سرورهای DNS غیرفعال کشف و در پایگاه داده های قابل جستجوی عمومی ضبط شوند.

کلاروک یافته‌های خود را با SpaceXSI و شرکت‌های تحت‌تأثیر به اشتراک گذاشت که برخی از آنها به سرعت برای مهار قرار گرفتن در معرض Grok اقدام کردند. با این حال، ظاهرا خود SpaceXSI تا زمانی که کلاروک ماسک و یکی دیگر از مقامات شرکت را در X برچسب‌گذاری نکرد، پاسخی نداد. پس از آن، SpaceXSI 24 برنامه خود را که توسط پیوندها افشا شده بودند حذف کرد، اما کلاروک نوشت: «این کار را برای برنامه‌هایی که دیگر کاربران و سازمان‌های Grok باز گذاشته بودند، انجام نداده است.