У застосунках, створених за допомогою ШІ-інструмента Grok Build, знайшли конфіденційні бізнес-плани, персональні дані працівників і навіть медичні результати пацієнтів. Серед постраждалих опинилася й сама SpaceXSI, якій належить Grok. Щоб отримати доступ до цієї інформації достатньо було знайти посилання.
У застосунках, створених за допомогою ШІ-інструмента Grok Build, знайшли конфіденційні бізнес-плани, персональні дані працівників і навіть медичні результати пацієнтів. Серед постраждалих опинилася й сама SpaceXSI, якій належить Grok. Щоб отримати доступ до цієї інформації достатньо було знайти посилання.
Про це повідомляє Ars Technica із посиланням на дослідження компанії Claroc, яка займається кібербезпекою.
Grok Build працює за принципом «вайбкодингу»: людина описує, який застосунок хоче отримати, а ШІ пише за неї код. Результатом можна поділитися з іншими за допомогою посилання. Саме ці посилання й стали проблемою.
Дослідники Claroc знайшли понад 43 000 адрес застосунків Grok Build. Із них понад 35 000 відкривалися для сторонніх людей.
Фахівці знайшли, зокрема:
24 застосунки самої SpaceXSI, об'єднаної компанії SpaceX та xAI. У них знайшли конфіденційний план адаптації нового співробітника, інформацію про 594 клієнтські акаунти, внутрішні адреси робочих систем і рекламні пропозиції.
Внутрішню статистику Tesla з іменами 22 техніків сервісних центрів, даними про їхню продуктивність і бонуси.
Документи оборонних підрядників, зокрема список 108 людей, які працювали над контрактом із ВМС США, та виробничі інструкції іншої компанії.
Дані тисяч працівників і клієнтів інших організацій, зокрема список приблизно 3500 співробітників медичної компанії та інформацію про бюджети потенційних покупців житла.
Проблема полягає в тому, як Grok Build створює посилання. Кожен опублікований застосунок отримує адресу з випадковими словами перед grok.me. Передбачалося, що стороння людина не зможе вгадати таку адресу.
Але коли хтось відкриває застосунок Grok Build, його веб-адреса може потрапити до спеціальних баз даних, які збирають інформацію про DNS-запити. Дані з таких баз можна знайти у відкритому доступі, тому дослідники змогли відшукати тисячі посилань, які мало бути складно вгадати.
У Claroc також спробували опублікувати тестовий застосунок, створений за допомогою ШІ-помічника. Виявилося, що Grok Build під час публікації застосунку пропонував доступ усім, хто має посилання. Щоб обмежити його, користувач мав самостійно змінити налаштування.
Дослідники також звертають увагу, що схожий ризик існує в інших інструментах для створення застосунків за допомогою ШІ, зокрема Lovable, Bolt і Replit. Вони теж використовують окремі вебадреси для проєктів.
Тому користувачам Grok Build, які працюють із внутрішніми документами або персональними даними, радять перевірити налаштування своїх застосунків. Замість «Anyone with the link» (усі, хто має посилання) краще вибрати «Invited users» (запрошені користувачі) або «Only you» (тільки ви).
Раніше dev.ua писав про дослідження, яке показало, що проблеми з безпекою мають багато застосунків, створених за допомогою «вайбкодингу». Експерти перевірили тисячі програм, створених за допомогою сервісів для вайбкодингу Lovable, Replit та інших. Виявилося, що близько 40% досліджених застосунків розкривали конфіденційні дані, зокрема медичну й фінансову інформацію чи контакти клієнтів. У деяких випадках сторонній людині також достатньо було просто знати адресу застосунку.
