По данным исследователей компании Claroc, из 37 571 приложения, созданного с помощью Grok, 35 578 были доступны всем без входа в систему. Среди них — 24 приложения, разработанные сотрудниками социальной сети X и компании SpaceXSI, создателя ИИ-ассистента Grok. Большинство открытых приложений представляли собой игры, лендинги и калькуляторы, но примерно каждое десятое содержало внутренние деловые или личные данные.
В число приложений, созданных сотрудниками, входили конфиденциальный план адаптации нового сотрудника отдела продаж, карта территории продаж с 594 клиентами и предложение по рекламе X для федерального агентства США с пометкой «конфиденциально». SpaceXSI, ранее известная как xAI, с тех пор удалила все 24 приложения, созданные сотрудниками, но не приложения других пользователей, сообщили исследователи.
Помимо этих приложений, созданных сотрудниками, в открытых приложениях содержались внутренние данные еще 30 организаций, которые удалось идентифицировать исследователям. Эти организации работают в различных сферах: от строительства и энергетики до здравоохранения и обороны. Из них 26 компаний насчитывают более 1000 сотрудников, а 6 входят в список Fortune 500.
По оценкам исследователей, изложенным в их отчете, примерно 2% открытых приложений содержали материалы, достаточно серьезные, чтобы классифицировать их как «высокие» или «критические». Среди раскрытых материалов были база данных больничной группы с более чем 3500 сотрудниками, информация о состоянии пациента в реанимации, оперативная доска смен пожарной части и табель учета рабочего времени подрядчика, в коде которого пароли всех сотрудников хранились в открытом виде.
Grok может создавать рабочее приложение на основе описания, введенного в чат — функция, которую разработчик открыл для всех планов Grok 19 августа. Этот чат-конструктор имеет то же название Grok Build, что и отдельный инструмент для кодирования в терминале, репозиторий которого был загружен 14 июля.
Каждое опубликованное приложение получает собственный субдомен grok.me, и его создатель выбирает, кто может его открыть, согласно анонсу компании.
Ни одно приложение не становится общедоступным, пока его создатель не нажмет «Опубликовать». В платной учетной записи, которую использовали исследователи, следующий шаг предлагал 3 настройки доступа: «Любой, у кого есть ссылка», «Приглашенные пользователи» и «Только вы». Настройка «Любой, у кого есть ссылка» была выбрана по умолчанию.
Эта настройка имеет значение, поскольку адрес приложения не остается секретным, говорят исследователи. Открытие приложения заставляет компьютер посетителя искать его субдомен в DNS. Сервисы пассивного DNS записывают такие запросы, и любой, у кого есть учетная запись, может искать эти записи по шаблону.
Grok предлагает 4 случайных слова в качестве имени для каждого приложения, и примерно половина найденных исследователями имен соответствовала этому шаблону. Такие имена трудно угадать, но это не защищает приложение, имя которого уже находится в доступном для поиска списке.
Конструктор приложений ChatGPT также размещает каждое приложение на собственном субдомене. Однако, когда исследователи поделились приложением там, доступ к нему был установлен как «Только я», пока они не изменили его. Адрес приложения ChatGPT, найденный в данных DNS, привел бы к приложению, которое может открыть только его владелец, утверждают они.
Исследователи нашли названия приложений Grok, используя распространенные методы обнаружения субдоменов, и загрузили первую страницу каждого приложения один раз, без входа в систему.
Чтобы проверить, какую защиту Grok добавляет самостоятельно, исследователи создали 2 тестовых приложения с вымышленными данными и опубликовали оба с настройкой доступа «Любой, у кого есть ссылка».
Первое, список контактов, получило базу данных, но без входа в систему. Без входа в систему исследователи добавили строку из приватного окна браузера, и следующий посетитель увидел ее.
Второе, список клиентов для команды продаж из 4 человек, получило кнопки входа, которые Grok добавил самостоятельно: «Продолжить с Google» и «Продолжить с X». Однако код, написанный Grok, добавлял каждого вошедшего пользователя в команду до проверки, принадлежит ли он ей, поэтому проверка всегда проходила.
Неприглашенный аккаунт Google, принадлежащий другому лицу, получил доступ, просмотрел всех клиентов, отредактировал одну запись и удалил другую.
Исследователи проводили эти тесты только на своих собственных приложениях. Они не проверяли, примут ли такие изменения какие-либо из найденных открытых приложений.
Исследователи сообщили о своих выводах SpaceXSI в воскресенье по адресу, указанному в файле security.txt, включая 2 приложения, созданных сотрудниками. Остальные 22 они сообщили в понедельник.
К моменту публикации вчера компанией они не ответили на отчет, но ответили на вопросы репортера об исследовании.
Как описывают исследователи, компания заявила, что приложения Grok остаются приватными до тех пор, пока их создатель не поделится ими. Публикация включает несколько шагов, в том числе выбор между «Только вы» и «Любой, у кого есть ссылка», а также юридическое уведомление. Учетные записи сотрудников по умолчанию настроены на «Только вы».
Тем не менее, 24 приложения, созданные сотрудниками компании и X, были доступны всем, говорят исследователи.
В своем отчете исследователи просили компанию установить «Только вы» по умолчанию и добавить опцию, ограничивающую доступ к приложению только для домена электронной почты компании.
В ответе компании не было указано, что они свяжутся с владельцами других открытых приложений, по словам исследователей. Они сами начали рассылать электронные письма затронутым организациям и к моменту публикации отправили письма 3 из них. Они скрыли все адреса и названия приложений из отчета.
18 октября те же исследователи опубликовали исследование Muse, показавшее, что страницы, которыми поделились через ИИ-агент Muse от *Meta, можно найти через пассивный DNS. *Meta отключила функцию общего доступа, а затем 22 октября анонсировала исправление общего доступа, которое присвоило общим элементам новые адреса.
Claroc, продающая инструменты для поиска и защиты приложений, созданных с помощью ИИ, рекомендует следующие проверки:
В тестах исследователей установка приложения в режим «Только вы» приводила к ошибке 401 для постороннего как для страницы, так и для ее данных, а снятие с публикации отключало приложение в течение нескольких секунд.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
