Grok Build: 35 578 aplikacji otwierało się bez logowania

Większość to gry, strony docelowe i kalkulatory. Mniej więcej co dziesiąta zawierała dane firmowe lub osobiste. Claroc szacuje, że prywatne dane miało od 650 do 800 aplikacji. Część przypadków sprawdzono ręcznie: wyniki badań pacjenta z intensywnej terapii, lista ponad 3500 pracowników grupy szpitali, grafik zmian straży pożarnej. W aplikacji do rozliczania czasu pracy leżało 18 kont z hasłami zapisanymi jawnym tekstem. Wśród otwartych aplikacji SpaceXSI były mapa 594 strategicznych klientów, osiem ofert reklamowych dla X i poufny plan wdrożenia nowych pracowników.

Jak ktoś znalazł adresy tych aplikacji?

Nikt ich nie zgadywał. Każda opublikowana aplikacja dostaje własną nazwę hosta z losowych słów, np. name.grok.me. Gdy ktoś ją otwiera, nazwa trafia do pasywnych usług DNS, czyli komercyjnych baz zapisujących zapytania w sieci, które może przeszukiwać każdy z kontem. W ChatGPT, Claude i Gemini tajna część linku jest w ścieżce, której DNS nie widzi. Tą samą metodą w zeszłym miesiącu ujawniono linki Muse od Mety.

Co odpowiada SpaceXSI?

SpaceXSI wyłączyło własne 24 aplikacje, ale cudze zostawiło. Przedstawiciel Cursora, którego SpaceX kupiło w sierpniu, twierdzi, że aplikacje są domyślnie prywatne. Według Claroc ekran publikacji w użytym koncie proponował „Anyone with the link”, a opcje „Invited users” i „Only you” były dalej. Ludzie, którzy opublikowali te aplikacje, przeszli wszystkie kroki.

Claroc prosi o ustawienie „Only you” jako domyślnego i ostrzeganie, gdy aplikacja ma bazę danych, ale nie ma logowania. Sam powiadamia poszkodowane organizacje.