Grok Build, l’agente AI di programmazione presentato da SpaceXSI a metà maggio, ha lasciato accessibili online i dati di migliaia di utenti, compresi quelli dell’azienda di Elon Musk. I ricercatori di Claroc hanno accertato che “Le informazioni delle app sono accessibili tramite la condivisione del link.” Un problema analogo è stato segnalato anche per ChatGPT e Muse.
La condivisione delle applicazioni avviene mediante indirizzi generati casualmente, pensati per limitare l’accesso a chi conosce l’URL esatto. Tuttavia, “La scelta progettuale di SpaceXSI rende possibile individuare migliaia di progetti attivi.” Chi apre uno di questi collegamenti visualizza l’app e tutti i dati collegati.
Grok Build colloca nell’URL almeno due parole casuali, sostituibili dagli utenti, mentre il dominio grok.me rimane sulla destra. Le stringhe casuali, quindi, si trovano a sinistra del dominio. Questa organizzazione agevola la ricerca dei collegamenti attraverso i servizi di DNS passivo: quando una richiesta di risoluzione riguarda l’indirizzo IP di un URL mai incontrato in precedenza, l’operazione viene archiviata in un database accessibile al pubblico.
Per individuare le applicazioni basta dunque eseguire una ricerca con una query *.grok.me. Gli esperti di Claroc hanno così scoperto 43.601 link, dei quali 35.578 erano pubblici. Selezionando questi ultimi si apriva direttamente l’app, con l’esposizione di tutti i dati associati.
Nel materiale esaminato sono comparse anche 24 app realizzate da dipendenti di SpaceXSI, contenenti informazioni confidenziali di varia natura. Dopo la segnalazione di Claroc, l’azienda ha disattivato la condivisione per le sue 24 app; le altre risultano ancora online. Non è noto se gli utenti interessati riceveranno una comunicazione, né se SpaceXSI interverrà sulla generazione degli URL.
