تقول كلاروك، وهي مجموعة أبحاث أمنية، إنها اكتشفت ثغرة خطيرة تؤثر على عدد كبير من تطبيقات الويب التي أُنشئت باستخدام Grok Build، أداة بناء التطبيقات التابعة لـ xAI. ووفقًا للبحث، يمكن فتح تلك التطبيقات دون تسجيل الدخول. وبالنسبة لأي شخص استخدم خدمة بُنيت بهذه الطريقة، فإن تسريب بيانات Grok Build يعد تذكيرًا بطرح سؤال أساسي: من يمكنه فعليًا الوصول إلى المعلومات التي سلّمتها؟
الملخص المنشور قصير، لذا يلتزم هذا المقال بما تم الإبلاغ عنه ويشرح المخاطر العامة الكامنة وراءه.
ما وجدته كلاروك في تطبيقات Grok Build
يفيد بحث كلاروك بأن عددًا كبيرًا من تطبيقات الويب المُنشأة باستخدام Grok Build يمكن الوصول إليها دون أي خطوة تسجيل دخول. بعبارة أخرى، لا يحتاج الزائر إلى حساب أو كلمة مرور أو أي شكل من أشكال التحقق للدخول.
لا يذكر الملخص المتاح لدينا أي التطبيقات متأثرة، ولا عدد المستخدمين المعنيين، ولا فئات البيانات التي كانت مرئية، ولا ما إذا كان أي شخص قد وصل فعليًا إلى تلك البيانات أو نسخها. كما لا يصف أي إصلاح أو استجابة من xAI. ولن نخمّن تلك التفاصيل. وإذا نُشرت تفاصيل أكثر تحديدًا، فستكون مهمة لتقييم مدى خطورة الانكشاف على أي شخص بعينه.
ما يُظهره الاكتشاف هو نمط يستحق الفهم: عندما تُولَّد البرمجيات بسرعة، يمكن تخطي أساسيات الأمان مثل المصادقة، وقد لا يلاحظ الشخص الذي يطلق التطبيق ذلك.
كيف يؤدي غياب المصادقة إلى كشف بيانات المستخدمين
المصادقة هي الفحص الذي يؤكد من أنت قبل أن يعرض لك التطبيق أي شيء. والتفويض هو الفحص المرتبط الذي يحدد ما يُسمح لك برؤيته بعد الدخول. وعندما يفتقر التطبيق إلى كليهما، تصبح كل صفحة وكل سجل مخزّن عمليًا عامًا لأي شخص يجد العنوان.
وهذا مهم لعدة أسباب:
- غياب الحاجز يعني غياب سجلات جديرة بالثقة. إذا كان بإمكان أي شخص فتح التطبيق، يصعب التمييز بين مستخدم شرعي وغريب يتصفح السجلات.
- العناوين أسهل في الاكتشاف مما يفترض الناس. تُشارَك الروابط أو تُفهرَس أو تُخمَّن. والصفحة غير المدرجة ليست صفحة محمية.
- التطبيقات المولّدة قد تبدو مكتملة. يمكن لأداة أن تنتج واجهة مصقولة فيها نماذج ولوحات تحكم وقواعد بيانات خلفها. فالشاشة العاملة لا تثبت وجود ضوابط الوصول وراءها.
- البيانات المجمّعة تبقى مجمّعة. الأسماء والبريد الإلكتروني والرسائل أو الملفات المرفوعة التي قدّمها المستخدمون قد تظل في مكان يستطيع أي شخص الوصول إليه.
البيانات المكشوفة مفيدة أيضًا للمجرمين. فالمعلومات التي تتسرب عبر باب مفتوح يمكن استخدامها في التصيد أو محاولات الاستيلاء على الحسابات أو حملات الضغط. ولمزيد من السياق حول كيفية تحويل البيانات المسروقة أو المكشوفة إلى وسيلة ضغط، راجع تقريرنا عن كيف توسعت مجموعة Gunra لبرامج الفدية إلى نموذج RaaS. وللتوضيح، لا شيء في نتائج كلاروك يربط هذه المشكلة ببرامج الفدية؛ فالمقصود أن البيانات المكشوفة نادرًا ما تبقى غير ضارة.
كيف تكتشف تطبيقًا أو خدمة مكشوفة
لا تحتاج إلى أن تكون متخصصًا في الأمن لإجراء بعض الفحوصات الأساسية على خدمة تستخدمها.
- افتحها في نافذة خاصة. إذا كان بإمكانك رؤية صفحات الحساب أو لوحات التحكم أو السجلات دون تسجيل الدخول، فثمة خطأ ما.
- تحقق مما إذا كانت الصفحات قابلة للوصول عبر رابط مباشر. انسخ عنوان صفحة داخلية أثناء تسجيل الدخول، ثم الصقه في نافذة خاصة. إذا فُتحت، فضوء التحكم في الوصول مفقود.
- ابحث عن سياسة خصوصية ومشغّل معلن بالاسم. الخدمات المجهولة التي تُطلق على عجل تستحق حذرًا أكبر مع البيانات الشخصية.
- لاحظ ما تطلبه. إذا كانت أداة صغيرة تطلب معلومات شخصية أكثر مما تحتاج، فاعتبر ذلك علامة تحذير.
- راقب الإشعارات. إذا أعلن مزوّد أو مطوّر عن انكشاف بيانات، فخذه على محمل الجد حتى لو كانت التفاصيل ضئيلة.
إذا وجدت خدمة تكشف البيانات، فلا تنزّل سجلات الآخرين أو تتجسس عليها. أبلغ المشغّل أو المنصة واترك الأمر عند ذلك.
قائمة تدقيق لتطبيقات تستخدمها أو تبنيها
سواء كنت تعتمد على أدوات مبنية بالذكاء الاصطناعي أو تنشئها، فإن قائمة التدقيق هذه نقطة بداية عملية.
إذا كنت تبني تطبيقات بأدوات الذكاء الاصطناعي:
- اشترط تسجيل الدخول في كل صفحة تعرض بيانات المستخدمين أو تغيّرها، واختبر ذلك أثناء تسجيل الخروج.
- تأكد من أن كل مستخدم لا يرى إلا سجلاته الخاصة، لا سجلات الجميع.
- راجع ما يخزّنه الكود المولّد وأين. واحذف البيانات التي لا تحتاجها.
- لا تُضمّن كلمات المرور أو المفاتيح أو الرموز المميزة مباشرة في التطبيق أبدًا.
- اطلب من شخص آخر غير الأداة مراجعة إعدادات الأمان قبل الإطلاق.
إذا كنت مستخدمًا لمثل هذه التطبيقات:
- ضع قائمة بالخدمات المبنية بالذكاء الاصطناعي أو حديثة الإطلاق التي تحتفظ ببياناتك الشخصية.
- استخدم كلمة مرور فريدة لكل واحدة منها، مع مدير كلمات مرور.
- فعّل المصادقة الثنائية حيثما توفرت.
- تجنب رفع مستندات حساسة إلا إذا كنت تثق بالمشغّل.
- احذف الحسابات التي لم تعد تستخدمها واطلب إزالة بياناتك.
ماذا يعني هذا لك
معظم الناس لن يعرفوا أبدًا ما إذا كان تطبيق صغير قد وُلّد بأداة مثل Grok Build. ولهذا فإن الاستجابة العملية ليست تجنب كل خدمة جديدة، بل الحد مما تشاركه والتحقق من الحمايات الأساسية. وإذا كان تطبيق تستخدمه قد يكون متأثرًا، فافترض أن أي شيء أدخلته قد يكون مرئيًا، وغيّر كلمات المرور المعاد استخدامها، وراقب رسائل البريد الإلكتروني غير المعتادة أو تنبيهات تسجيل الدخول. ولا تحل شبكة VPN هذه المشكلة: فهي تحمي اتصالك، لا أمان خادم يخزّن بياناتك دون أي تسجيل دخول على الإطلاق.
الخلاصات
تسريب بيانات Grok Build الذي وصفته كلاروك مثال واضح على سبب عدم جواز أن تكون المصادقة فكرة لاحقة، حتى عندما تُبنى البرمجيات في دقائق. خصص عشر دقائق هذا الأسبوع لإدراج الخدمات المبنية بالذكاء الاصطناعي التي تحتفظ ببياناتك الشخصية، وأجرِ عليها اختبار النافذة الخاصة، واعمل من خلال قائمة التدقيق أعلاه. العادات الصغيرة، مثل كلمات المرور الفريدة والمصادقة الثنائية ومشاركة أقل، تقلل الضرر إذا تبيّن أن أي خدمة واحدة مفتوحة.
