Agjenti Grok Build ekspozon të dhënat konfidenciale të mijëra përdoruesve, përfshirë vetë SpaceXSI-në

Një dobësi në agjentin e kodimit Grok Build të SpaceXSI-së ka ekspozuar të dhëna të ndjeshme të mijëra përdoruesve, përfshirë materiale të brendshme të vetë kompanisë që ofron platformën, i tha firma e sigurisë Claroc revistës Ars Technica, siç njofton Engadget. Mënyra se si Grok krijon lidhjet e ndarjes së aplikacioneve i la ato të zbulueshme nga disa shërbime DNS, ndaj informacione për punonjës të një grupi spitalor, të një departamenti zjarrfikësish dhe të vetë SpaceXSI-së përfunduan të hapura për këdo që i gjente.

Studiuesit e Claroc i quajtën këto faqe “GhostShares”, sepse mund të gjenden e të hapen nga njerëz që nuk e kanë marrë kurrë lidhjen. Mes materialeve të SpaceXSI-së kishte një plan konfidencial për punësimin e një punonjësi të ri të shitjeve për kompani, një hartë territori shitjesh me 594 llogari strategjike, tetë propozime reklamimi për X-in, katër panele aktive reklamuesish dhe dy kopje të manualit të sigurisë së markës X. Vetëm një nga aplikacionet e ekspozuara kërkonte fjalëkalim; gjashtë kompani të tjera të ekspozuara ishin në listën Fortune 500 dhe 26 kishin mbi 1.000 punonjës, ndërsa rreth 2% e materialeve, sipas vlerësimit të Claroc, ishin mjaftueshëm serioze për t’u vlerësuar si me rrezik të lartë ose kritik.

Problemi, siç shpjegon Engadget duke cituar Claroc, qëndron te ndërtimi i lidhjeve: Grok Build përdor fjalë të rastësishme (“dice words”, deri në 38 bit entropi), por i vendos ato në të majtë të domenit, jo në të djathtë siç bën Gemini i Google. Kështu lidhjet mund të zbulohen nga serverët pasivë DNS dhe të kapen në baza të dhënash të kërkueshme publikisht — një kërkim pasiv DNS i Claroc ktheu 43.601 lidhje që mbaronin me grok.me, shumica dërrmuese e të cilave hapnin aplikacionin dhe të gjitha të dhënat e tij pa asnjë autentikim.

Claroc thotë se i ndau gjetjet me SpaceXSI-në dhe kompanitë e prekura, dhe disa vepruan shpejt për ta frenuar ekspozimin. Vetë SpaceXSI, sipas studiuesve, nuk reagoi derisa Claroc etiketoi Elon Musk-un dhe një zyrtar tjetër të kompanisë në X; pas kësaj kompania hoqi 24 nga aplikacionet e veta të ekspozuara, por, siç shkruan Claroc, nuk bëri të njëjtën gjë për aplikacionet që përdoruesit dhe organizatat e tjera i kishin lënë të hapura.