Grok Build: Leck legt Daten von SpaceXSI und Nutzer-Apps offen
Grok Build packte den geheimen Teil seiner App-Links an eine Stelle, die DNS-Dienste mitlesen konnten. Selbst SpaceXSIs eigene Vertriebskarten waren auffindbar.
SUMO· das Zahlenrätsel
Dialo· Sprachen lernen durch Sprechen
ediviewer· EDI-Dateien wie Dokumente lesen
giftdetect· das passende Geschenk in MinutenAusgerechnet die Firma hinter Grok ließ eigene interne Unterlagen für jeden offen, der den Link kannte. Das berichtet die Sicherheitsfirma Claroc. Ein Fehler im Vibe-Coding-Agenten Grok Build von SpaceXSI (ein Tool, das aus Textanweisungen Apps baut und veröffentlicht) habe Daten Tausender Nutzer offengelegt.
Darunter waren Mitarbeiterdaten einer Krankenhausgruppe und einer Feuerwehr sowie Dateien von SpaceXSI selbst: ein Onboarding-Plan, eine Vertriebsgebietskarte mit 594 strategischen Kunden, acht Werbevorschläge für X, vier aktive Werbekunden-Boards und zwei Kopien eines Brand-Safety-Leitfadens von X. Nur eine der offenen Apps verlangte ein Passwort. Laut Claroc gehören sechs weitere betroffene Firmen zu den Fortune 500, 26 haben mehr als 1.000 Beschäftigte. Etwa zwei Prozent des Materials stuft Claroc als hoch oder kritisch ein.
Wie kam es zum Grok-Build-Leck?
Das Problem lag im Aufbau der Links. Grok Build nutzte sogenannte „Dice Words“, zufällig erzeugte Phrasen aus vier Wörtern mit bis zu 38 Bit Entropie (ein Maß dafür, wie schwer etwas zu erraten ist). Diese Phrase stand aber links vom Domainnamen. Googles Gemini setzt sie rechts davon.
Das macht den Unterschied. Passive DNS-Dienste, die mitschneiden, welche Domainnamen Geräte abfragen, konnten die Links erfassen und in öffentlich durchsuchbaren Datenbanken ablegen. Wer den Link nie bekommen hatte, konnte die Seite trotzdem finden und öffnen. Claroc nennt solche Seiten GhostShares.
Was hat SpaceXSI unternommen?
Claroc informierte SpaceXSI und die betroffenen Firmen, einige reagierten schnell. SpaceXSI selbst meldete sich Berichten zufolge erst, nachdem Claroc Musk und einen weiteren Firmenvertreter auf X markiert hatte. Danach nahm das Unternehmen 24 seiner eigenen offenen Apps vom Netz.
Für Apps anderer Grok-Nutzer und Organisationen gelte das nicht, schreibt Claroc. Wer mit Grok Build etwas gebaut und per Link geteilt hat, sollte prüfen, was die Seite für zufällige Finder preisgibt.
Apps, die sich lohnen
SUMO: das ZahlenrätselTippe die richtigen Felder, addiere, triff das Ziel. Leicht zu lernen, schwer zu meistern. Kostenlos, für jedes Alter.
Dialo: Sprachen lernen durch SprechenSprich mit einem KI-Gesprächspartner; jeder Satz kommt korrigiert und in deiner Sprache erklärt zurück. 9 Sprachen, A1 bis C2.
ediviewer: EDI-Dateien wie Dokumente lesenEDIFACT- und X12-Nachrichten öffnen, jedes Segment verständlich erklärt, in JSON/XML umwandeln, als PDF und Excel exportieren. Läuft lokal, kein Upload.
giftdetect: das passende Geschenk in MinutenWähle, für wen es ist, den Anlass und die Persönlichkeit. Die Suchmaschine liest Produktbeschreibungen lokaler Shops und sortiert, was passt. Kostenlos, ohne Anmeldung.
Mehr von diesem Tag
Alle anzeigen →
Nāpōwawāʻenakaulua: Webb findet das früheste Quasar-Paar
United Airlines sperrt KI-Agenten: Beim Check-in zählt ein Mensch
Jensen Huang tritt als Nvidia-Chef zurück, Kress übernimmt interimsweise
WinSxS-Ordner: DISM-Befehl macht bis zu 10 GB in Windows frei
Mehr aus: Sicherheit
Alle anzeigen →
ScreenConnect: Lücke im RMM+-Plugin infiziert 288 Rechner
Spioniert dein Smart-TV dich aus? Fragen zu TV-Daten
iPhone des Krakau-Attentäters: Ermittler brauchen evtl. Apple
