Grok abrió puertas ajenas
El agente de creación de aplicaciones Grok Build filtró datos confidenciales de miles de usuarios, incluidos materiales de SpaceXSI. Así se lo comunicó a Ars Technica la empresa Claroc, especializada en investigar casos de fraude y ciberseguridad. La causa fue una particularidad del funcionamiento de los enlaces a las aplicaciones: con determinados tipos de servicios DNS, podían detectarse y abrirse públicamente.
El DNS es un sistema que ayuda a localizar servidores de internet mediante nombres de dominio. Según los investigadores, la vulnerabilidad dejó al descubierto información de empleados de un grupo hospitalario, un servicio de bomberos y la propia SpaceXSI.
Claroc llamó a estas páginas GhostShares, «páginas compartidas fantasma»: podían encontrarlas y abrirlas personas a quienes nadie había enviado el enlace. Los investigadores escribieron que les había sorprendido que materiales internos de la empresa creadora de Grok estuvieran al alcance de cualquiera que tuviese el enlace.
Entre los materiales de SpaceXSI descubiertos había un plan de incorporación de nuevos empleados, un mapa de distribución de ventas entre 594 clientes estratégicos, ocho propuestas publicitarias para X, cuatro paneles activos de cuentas publicitarias y dos copias de la guía de seguridad de marca de X. Solo una de las aplicaciones descubiertas exigía contraseña.
Además de SpaceXSI, quedaron expuestas otras seis empresas de la lista Fortune 500, las mayores corporaciones estadounidenses. Veintiséis de las organizaciones afectadas tenían más de mil empleados. Según la estimación de Claroc, en aproximadamente el dos por ciento de los casos el material expuesto era lo bastante delicado como para clasificar el riesgo de alto o crítico.
El problema estaba en la estructura de los enlaces de Grok Build. El servicio añadía a cada uno una combinación generada al azar de cuatro palabras —los llamados «bloques de palabras»— con una entropía de hasta 38 bits. Aquí, entropía significa el grado de imprevisibilidad de una cadena: cuanto mayor es, más difícil resulta acertar el enlace al azar. Sin embargo, Grok colocaba esa combinación antes del nombre de dominio, y no después, como hace Gemini de Google. Por ese orden, los enlaces podían quedar registrados en servidores DNS pasivos y entrar en bases de datos públicas donde cualquiera podía buscarlos.
Claroc comunicó los resultados a SpaceXSI y a las demás organizaciones afectadas. Algunas actuaron rápidamente. Según las informaciones, SpaceXSI no respondió hasta que Claroc mencionó en X a Elon Musk y a otro representante de la empresa. Después, SpaceXSI desactivó sus 24 aplicaciones propias accesibles mediante esos enlaces. Sin embargo, según Claroc, no hizo lo mismo con las aplicaciones de otros usuarios de Grok ni con las de organizaciones, que siguieron abiertas.
PEREC.RU
La seguridad digital tiene una curiosa versión corporativa: mientras todo funciona, se considera una partida de gastos aburrida; cuando los datos ya circulan por la red, de pronto se convierte en una prioridad estratégica. Normalmente, justo el tiempo necesario para cerrar las puertas propias y anunciar que el asunto está bajo control.
En esta historia lo más revelador no es tanto el error técnico como la diferencia entre lo rápido que las empresas aprendieron a vender la promesa de una IA cómoda y lo despacio que comprueban las consecuencias de su funcionamiento. El enlace parecía una llave secreta, pero resultó más bien un letrero con la dirección, visible para quien pasara por allí. ¿Eligieron los desarrolladores precisamente esa forma de colocarlo por alguna razón? La explicación técnica basta para responder; no hace falta recurrir a conspiraciones, aunque el hábito corporativo de confiar en pasar desapercibido ya resulta bastante convincente.
La reacción tras la atención pública también es conocida: el aviso de los investigadores es ruido de fondo; que un directivo influyente te mencione en las redes sociales ya es una señal para actuar. Sale un sistema de prioridades extraño, en el que el riesgo para los usuarios no siempre suena tan fuerte como el riesgo de aparecer en el feed de Elon Musk. Se puede llamar escalada acelerada. O burocracia corriente que de pronto descubre que tiene piernas.
Cerrar las aplicaciones propias es una medida necesaria, pero no el final si páginas similares siguen abiertas para otras organizaciones. De lo contrario, la seguridad se parece a un equipo de bomberos que solo apaga su propia oficina y deja a los vecinos un cubo con una nota: «Arréglense ustedes». Sobre el papel, puede seguir pareciendo un incidente aislado, pero para los usuarios la pregunta es mucho más sencilla: ¿quién responde de que el servicio creado no convierta la privacidad en una lotería?
A la industria tecnológica le gusta hablar de democratizar las herramientas: ahora casi cualquiera puede crear aplicaciones. Esa democratización venía con una modesta nota al pie: casi cualquiera puede acabar abriéndolas también a personas a las que no pretendía. La comodidad se vende de inmediato, mientras que las consecuencias se reparten entre usuarios, investigadores y quienes después tienen que cerrar el acceso a toda prisa. Este modelo de negocio no necesita un villano en la sombra: basta con considerar que la seguridad ya se resolverá más adelante.
