В Grok Build нашли 35,6 тыс. приложений, открытых без авторизации

Исследователи Claroc обнаружили 35 578 приложений, созданных в Grok Build и доступных любому посетителю без входа. Их случайные адреса можно было перечислить через пассивные DNS-базы; среди открытых данных оказались внутренние документы SpaceXSI, персональные и медицинские сведения, а также пароли.

Компания по кибербезопасности Claroc проверила приложения, созданные в Grok Build — режиме генерации приложений по текстовому описанию. Из 37 571 работавшего приложения 35 578, или 94,7%, открывались без авторизации. По оценке исследователей, от 650 до 800 из них содержали закрытые данные.

Каждое опубликованное приложение Grok Build получало отдельный адрес вида <случайные-слова>.grok.me. Случайная часть находилась в имени хоста, поэтому попадала в пассивные DNS-базы и могла быть найдена обычным поиском по домену. Таким образом, задуманные как трудноугадываемые ссылки фактически поддавались массовому перечислению.

Claroc также установила, что в протестированной платной учетной записи при публикации по умолчанию был выбран режим «Anyone with the link». SpaceXSI — объединенная компания SpaceX и xAI, развивающая Grok, — заявила, что приложения остаются закрытыми, пока автор самостоятельно не опубликует их, а для учетных записей сотрудников действует настройка «Only you».

Среди доступных проектов оказались 24 приложения сотрудников SpaceXSI и X. Они содержали конфиденциальный план адаптации нового сотрудника, карту из 594 клиентских аккаунтов и рекламные предложения. В приложениях других организаций исследователи нашли списки сотрудников, медицинские данные пациента реанимации и пароли, записанные открытым текстом в загружаемом браузером сценарии.

После уведомления SpaceXSI удалила 24 приложения своих сотрудников. На момент публикации исследования, 10 ноября, остальные обнаруженные приложения пользователей продолжали работать, а Claroc начала самостоятельно предупреждать затронутые организации. Подробности также проверила Ars Technica.