Grok Build раскрыл конфиденциальные данные пользователей
Изображение: OpenAI
ИИ-сервис разработки Grok Build допустил утечку конфиденциальных данных пользователей из-за ошибки в механизме публикации приложений, выяснила компания по информационной безопасности Claroc. Исследователи нашли более 35 тыс. приложений, которые открывались по ссылке вместе со всеми сохранёнными данными.
Среди открытых проектов нашлись 24 приложения самой SpaceXSI, компании Илона Маска, объединившей SpaceX и xAI. В них находились конфиденциальный план адаптации сотрудника отдела продаж и рекламные предложения. После запроса Ars Technica ссылки на эти приложения перестали работать, но к моменту выхода материала 10 ноября почти все остальные данные оставались доступны.
Случайный набор слов в ссылках Grok Build стоит перед доменом grok.me. Такие адреса попадают в общедоступные базы пассивного DNS, где их можно найти без перебора комбинаций. Поэтому посторонние могут найти приложения, даже если никто не делился с ними ссылками.
У других пользователей исследователи нашли результаты 3784 медосмотров работников перуанской строительной компании и список персонала подрядчика ВМС США.
В тестах Claroc Grok Build по умолчанию открывал доступ к приложениям любому, у кого есть ссылка. Представитель сервиса разработки Cursor заявил обратное: приложения изначально закрыты и становятся публичными, только если автор сам решит ими поделиться.
Пользователям Grok Build, которые не хотят открывать приложение всем, рекомендуют ограничить доступ приглашёнными пользователями.
