Säkerhetsföretaget Claroc: över 35 000 Grok-appar gick att öppna utan inloggning
Säkerhetsföretaget Claroc uppger att över 35 000 appar byggda med SpaceXSI:s kodagent Grok Build gick att öppna utan konto. Enligt Claroc fanns bland dem patientuppgifter, lösenord i klartext och interna dokument från SpaceXSI och X.
Källor 5 källor
- MediumClaroc, GhostShares 2: Grok Apps Exposed xAI's Business Secrets and People's Private Datablog.claroc.io ↗
- MediumThe Decoder, Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipelinethe-decoder.com ↗
- MediumEngadget, A Grok vibe-coding agent leaked sensitive SpaceXSI dataengadget.com ↗
- MediumFeberfeber.se ↗
- Mediumheise onlineheise.de ↗
Av 37 571 appar som Claroc kontrollerade och som fortfarande var online gick 35 578 att öppna för vem som helst, alltså 94,7 procent. Det framgår av Claroc:s rapport, som publicerades den 10 november, enligt rapporteringen i The Decoder.
SpaceXSI är det bolag som tidigare hette xAI. I Groks Build-läge beskriver användaren en app i en chatt, och Grok skriver koden. Appen blir publik när skaparen klickar på "Publish", och den får då en egen adress under grok.me, skriver The Decoder.
Förvald delning och adresser som går att hitta
Claroc pekar ut publiceringsdialogen som orsak. På det betalkonto som företaget testade med var alternativet "Anyone with the link" redan förvalt, uppger The Decoder med hänvisning till Claroc:s rapport. Adresserna var dessutom lätta att hitta. Varje app får en egen underdomän, och namnet hamnar i kommersiella databaser för passiv DNS efter första besöket. Databaserna går att söka i efter mönster. Feber skriver att länkarna får adresser som "appnamn.grok.me" och att de listas i publika DNS-databaser när de väl använts. Enligt The Decoder anser Claroc också att bristfällig åtkomstkontroll i kod som Grok genererat bidrog till problemet.
Vad som låg öppet
I sin rapport nämner Claroc bland annat SpaceXSI:s karta över säljområden, ett annonsförslag från X till en amerikansk myndighet som var märkt som konfidentiellt, en intensivvårdspatients labbresultat och en personallista från en sjukhuskoncern. Dessutom fanns en tidrapporteringsapp som delade ut de anställdas lösenord. The Decoder skriver att det även rörde sig om lösenord i klartext och konfidentiella affärsdokument från SpaceXSI och X.
SpaceXSI har enligt The Decoder bara tagit ner sina egna 24 medarbetarappar. Övriga appar ska enligt The Decoder fortfarande vara åtkomliga.
Feber kallar felet för en bugg och skriver att Claroc själv kallar det GhostShares. Engadget skriver att ett fel i Grok Build läckte känsliga uppgifter från tusentals användare, bland dem SpaceXSI.
- Hur många av apparna som fortfarande är öppna. Uppgiften att övriga appar är åtkomliga kommer från The Decoder.
- Om någon obehörig faktiskt har öppnat eller kopierat känsliga uppgifter. Källorna visar att det var möjligt.
- Hur SpaceXSI själv ser på uppgifterna. Inget svar från bolaget finns i de källor vi läst.
Har vi fel? Skicka en rättelse.