Сложно представить, что инструмент, созданный для упрощения рутины, способен обернуться источником серьёзных проблем для бизнеса. Однако именно так произошло с конструктором приложений Grok. Речь идёт не о единичных ошибках, а о системной уязвимости, которая затронула десятки тысяч проектов и поставила под удар конфиденциальные сведения множества организаций.
Масштаб происшествия поражает воображение. Аналитики из Claroc изучили 37 571 приложение, созданное на платформе Grok, и обнаружили, что 35 578 из них оказались полностью открытыми для посторонних. Любой человек, не имеющий учётной записи, мог получить доступ к содержимому этих приложений. Среди них оказались и 24 разработки, созданные сотрудниками социальной сети X и компании SpaceXSI, которая и является создателем Grok.
Что именно оказалось под угрозой
Большинство открытых приложений выглядели безобидно: игры, простые калькуляторы, одностраничные лендинги. Но примерно каждое десятое содержало внутреннюю деловую переписку, персональные данные или закрытую корпоративную информацию. В числе приложений, созданных сотрудниками X и SpaceXSI, обнаружились документы с пометкой «конфиденциально», план адаптации нового менеджера по продажам и даже карта территории с 594 клиентами.
SpaceXSI оперативно отреагировала на инцидент и удалила все 24 приложения, созданные её сотрудниками. Однако приложения других пользователей остались нетронутыми. Исследователи подчёркивают, что проблема выходит далеко за пределы одной компании.
Пострадавшие организации и раскрытые данные
Помимо приложений от сотрудников X и SpaceXSI, в открытом доступе находились данные ещё 30 организаций. Среди них — компании из строительной отрасли, энергетики, здравоохранения и даже оборонного сектора. 26 из этих организаций насчитывают более тысячи сотрудников, а 6 входят в список Fortune 500.
Исследователи оценили, что около 2% открытых приложений содержали материалы, которые можно классифицировать как «высокие» или «критические» по степени риска. Среди раскрытых сведений оказались база данных больничной группы с информацией о более чем 3500 сотрудниках, данные о состоянии пациента в реанимации, оперативная доска смен пожарной части и даже табель учёта рабочего времени подрядчика, в коде которого пароли всех сотрудников хранились в открытом виде.
Как работает конструктор и почему возникла проблема
Grok Build позволяет создавать рабочее приложение на основе текстового описания, введённого в чат. Эта функция стала доступна для всех планов Grok 19 августа. Каждое опубликованное приложение получает собственный субдомен grok.me, а создатель выбирает, кто может его открыть.
Важный нюанс: ни одно приложение не становится общедоступным, пока его автор не нажмёт кнопку «Опубликовать». Однако в платной учётной записи, которую использовали исследователи, настройка доступа «Любой, у кого есть ссылка» была выбрана по умолчанию. Это означает, что многие пользователи могли даже не заметить, что их приложение открыто для всех.
Адрес приложения не остаётся секретным. Когда кто-то открывает приложение, компьютер посетителя ищет его субдомен в DNS. Сервисы пассивного DNS записывают такие запросы, и любой, у кого есть учётная запись, может искать эти записи по шаблону. Grok предлагает четыре случайных слова в качестве имени для каждого приложения, и примерно половина найденных исследователями имён соответствовала этому шаблону. Угадать такое имя сложно, но это не защищает приложение, имя которого уже находится в доступном для поиска списке.
Сравнение с ChatGPT и практические тесты
Конструктор приложений ChatGPT также размещает каждое приложение на собственном субдомене. Однако когда исследователи поделились приложением там, доступ к нему был установлен как «Только я», пока они не изменили его. Адрес приложения ChatGPT, найденный в данных DNS, привёл бы к приложению, которое может открыть только его владелец.
Чтобы проверить, какую защиту Grok добавляет самостоятельно, исследователи создали два тестовых приложения с вымышленными данными и опубликовали оба с настройкой доступа «Любой, у кого есть ссылка». Первое, список контактов, получило базу данных, но без входа в систему. Без входа в систему исследователи добавили строку из приватного окна браузера, и следующий посетитель увидел её. Второе, список клиентов для команды продаж из четырёх человек, получило кнопки входа, которые Grok добавил самостоятельно: «Продолжить с Google» и «Продолжить с X». Однако код, написанный Grok, добавлял каждого вошедшего пользователя в команду до проверки, принадлежит ли он ей, поэтому проверка всегда проходила. Неприглашённый аккаунт Google, принадлежащий другому лицу, получил доступ, просмотрел всех клиентов, отредактировал одну запись и удалил другую.
Реакция компании и рекомендации
Исследователи сообщили о своих выводах SpaceXSI в воскресенье по адресу, указанному в файле security.txt, включая два приложения, созданных сотрудниками. Остальные 22 они сообщили в понедельник. К моменту публикации компания не ответила на отчёт, но ответила на вопросы репортёра об исследовании.
Компания заявила, что приложения Grok остаются приватными до тех пор, пока их создатель не поделится ими. Публикация включает несколько шагов, в том числе выбор между «Только вы» и «Любой, у кого есть ссылка», а также юридическое уведомление. Учётные записи сотрудников по умолчанию настроены на «Только вы». Тем не менее, 24 приложения, созданные сотрудниками компании и X, были доступны всем.
В своём отчёте исследователи просили компанию установить «Только вы» по умолчанию и добавить опцию, ограничивающую доступ к приложению только для домена электронной почты компании. В ответе компании не было указано, что они свяжутся с владельцами других открытых приложений. Исследователи сами начали рассылать электронные письма затронутым организациям и к моменту публикации отправили письма трём из них. Они скрыли все адреса и названия приложений из отчёта.
Стоит отметить, что 18 октября те же исследователи опубликовали исследование Muse, показавшее, что страницы, которыми поделились через ИИ-агент Muse от Meta, можно найти через пассивный DNS. Meta отключила функцию общего доступа, а затем 22 октября анонсировала исправление общего доступа, которое присвоило общим элементам новые адреса.
Claroc, продающая инструменты для поиска и защиты приложений, созданных с помощью ИИ, рекомендует следующие проверки: в тестах исследователей установка приложения в режим «Только вы» приводила к ошибке 401 для постороннего как для страницы, так и для её данных, а снятие с публикации отключало приложение в течение нескольких секунд.