Grok открыл чужие двери
Следите за новостями по этой теме!
Подписаться на «Гик Гайд (3 апельсина) / Цифра сегодня»
Агент для создания приложений Grok Build допустил утечку конфиденциальных данных тысяч пользователей, включая материалы SpaceXSI. Об этом сообщила компания Claroc, специализирующаяся на расследовании случаев мошенничества и кибербезопасности, изданию Ars Technica. Причиной стала особенность работы ссылок на приложения: при определённых типах DNS-сервисов они могли обнаруживаться и открываться публично.
DNS — это система, которая помогает находить интернет-серверы по доменным именам. По данным исследователей, из-за уязвимости стали доступны сведения о сотрудниках больничной группы, пожарной службы и самой SpaceXSI.
Claroc назвала такие страницы GhostShares — «призрачными общими страницами»: их могли найти и открыть люди, которым ссылку никто не отправлял. Исследователи написали, что были потрясены тем, что внутренние материалы компании, создавшей Grok, оказались доступны любому, у кого есть ссылка.
Среди обнаруженных материалов SpaceXSI были план адаптации новых сотрудников, карта распределения продаж по 594 стратегическим клиентам, восемь рекламных предложений для X, четыре действующие панели рекламных аккаунтов и две копии руководства X по безопасности бренда. Пароль требовало только одно из обнаруженных приложений.
Кроме SpaceXSI, данные раскрыли ещё шесть компаний из списка Fortune 500 — крупнейших американских корпораций. У 26 затронутых организаций было более тысячи сотрудников. По оценке Claroc, примерно в двух процентах случаев открытые материалы были достаточно серьёзными, чтобы отнести риск к высокому или критическому.
Проблема заключалась в устройстве ссылок Grok Build. Сервис добавлял к ним случайно сгенерированную комбинацию из четырёх слов — так называемые «слова-кубики» — с энтропией до 38 бит. Энтропия здесь означает степень непредсказуемости строки: чем она выше, тем труднее подобрать ссылку случайно. Однако Grok размещал эту комбинацию перед доменным именем, а не после него, как это делает Gemini от Google. Из-за такого порядка ссылки могли фиксироваться пассивными DNS-серверами и попадать в общедоступные базы, где их можно искать.
Claroc передала результаты SpaceXSI и другим пострадавшим организациям. Некоторые быстро приняли меры. По сообщениям, сама SpaceXSI не ответила, пока Claroc не отметила в X Илона Маска и ещё одного представителя компании. После этого SpaceXSI отключила 24 собственных приложения, доступных по таким ссылкам. Однако, по словам Claroc, компания не сделала то же самое с приложениями других пользователей Grok и организаций, которые остались открытыми.
PEREC.RU
У цифровой безопасности есть занятная корпоративная версия: пока всё работает, она считается скучной статьёй расходов; когда данные уже гуляют по сети, внезапно становится стратегическим приоритетом. Причём обычно — ровно на время, необходимое, чтобы закрыть собственные двери и сообщить, что вопрос под контролем.
В этой истории особенно выразителен не сам факт технической ошибки, а разница между тем, как быстро компании научились продавать обещание удобного ИИ, и тем, как медленно они проверяют последствия его работы. Ссылка выглядела как секретный ключ, но оказалась скорее адресной табличкой, которую можно было заметить по дороге. Случайно ли разработчики выбрали именно такой способ размещения? Для ответа достаточно технического объяснения; конспирология тут не нужна, хотя корпоративная привычка надеяться на незаметность и без неё выглядит убедительно.
Реакция после публичного внимания тоже знакома: уведомление от исследователей — это фон, отметка влиятельного руководителя в соцсети — уже сигнал к действию. Получается странная система приоритетов, где риск для пользователей не всегда звучит так громко, как риск попасть в ленту Илона Маска. Можно, конечно, назвать это ускоренной эскалацией. Можно — обычной бюрократией, которая внезапно обнаружила, что у неё есть ноги.
Закрыть собственные приложения — необходимый шаг, но не финал, если похожие страницы остаются открыты у других организаций. Иначе безопасность напоминает пожарную команду, которая тушит только свой кабинет, оставляя соседям ведро с запиской: «Разберитесь сами». На бумаге всё ещё может выглядеть как частный инцидент, но для пользователей это вопрос куда проще: кто отвечает за то, чтобы созданный сервис не превращал конфиденциальность в лотерею?
Технологическая отрасль любит говорить о демократизации инструментов: теперь создавать приложения может почти каждый. У этой демократизации обнаружилась скромная сноска — почти каждый может случайно открыть их не только тем, кому собирался. Удобство здесь продаётся сразу, а последствия распределяются между пользователями, исследователями и теми, кому затем приходится срочно закрывать доступ. Такой бизнес-план не требует тайного злодея: достаточно привычки считать безопасность задачей на потом.
