Claroc, изследователска група по сигурността, твърди, че е открила сериозна уязвимост, засягаща голям брой уеб приложения, създадени с Grok Build, инструмента на xAI за изграждане на приложения. Според изследването тези приложения могат да бъдат отворени без влизане в системата. За всеки, който е използвал услуга, изградена по този начин, изтичането на данни в Grok Build е напомняне да си зададе основен въпрос: кой всъщност може да достигне до информацията, която съм предоставил?

Публикуваното резюме е кратко, затова тази статия се придържа към това, което е докладвано, и обяснява общия риск зад него.

Какво откри Claroc в приложенията на Grok Build

Изследването на Claroc съобщава, че голям брой онлайн приложения, генерирани с Grok Build, са достъпни без никаква стъпка за вход. С други думи, посетителят не се нуждае от акаунт, парола или каквато и да е форма на проверка, за да влезе.

Резюмето, с което разполагаме, не посочва кои приложения са засегнати, колко потребители са включени, какви категории данни са били видими или дали някой действително е осъществил достъп до или е копирал тези данни. То също не описва никакво решение или отговор от xAI. Няма да гадаем тези подробности. Ако бъдат публикувани повече конкретни данни, те ще имат значение за преценката колко сериозно е излагането за всеки отделен човек.

Това, което констатацията показва, е модел, който си струва да бъде разбран: когато софтуерът се генерира бързо, основните мерки за сигурност като автентикацията могат да бъдат пропуснати, а човекът, който пуска приложението, може да не го забележи.

Как липсващата автентикация излага потребителските данни

Автентикацията е проверката, която потвърждава кой сте, преди приложението да ви покаже нещо. Оторизацията е свързаната проверка, която решава какво ви е позволено да видите, след като сте влезли. Когато приложението няма нито едно от двете, всяка страница и всеки съхранен запис на практика са публични за всеки, който намери адреса.

Това е важно по няколко причини:

  • Без бариера няма надеждни логове. Ако всеки може да отвори приложението, трудно е да се различи легитимен потребител от непознат, който разглежда записи.
  • Адресите се намират по-лесно, отколкото хората предполагат. Линковете се споделят, индексират или отгатват. Непубликувана страница не е защитена страница.
  • Генерираните приложения могат да изглеждат завършени. Инструментът може да създаде изискан интерфейс с формуляри, табла и бази данни зад него. Работещ екран не доказва, че контролите за достъп зад него съществуват.
  • Събраните данни остават събрани. Имена, имейли, съобщения или качени файлове, които потребителите са предоставили, може да стоят на място, достъпно за всеки.

Изложените данни са полезни и за престъпници. Информация, която изтича през отворена врата, може да бъде използвана за фишинг, опити за отвличане на акаунти или кампании за натиск. За контекст как откраднатите или изложени данни се превръщат в лост, вижте нашия доклад за това как групата за рансъмуер Gunra се разшири към RaaS модел. За да е ясно, нищо в констатациите на Claroc не свързва този проблем с рансъмуер; смисълът е, че изложените данни рядко остават безвредни.

Как да разпознаете изложено приложение или услуга

Не е нужно да сте специалист по сигурността, за да направите няколко основни проверки на услуга, която използвате.

  1. Отворете я в частен прозорец. Ако можете да видите страници с акаунти, табла или записи, без да влизате, нещо не е наред.
  2. Проверете дали страниците са достъпни чрез директен линк. Копирайте адреса на вътрешна страница, докато сте влезли, и го поставете в частен прозорец. Ако се зареди, контролът за достъп липсва.
  3. Потърсете политика за поверителност и посочен оператор. Анонимните, прибързано пуснати услуги заслужават повече предпазливост с личните данни.
  4. Обърнете внимание какво иска. Ако малък инструмент иска повече лична информация, отколкото му е нужна, приемете това като предупредителен знак.
  5. Следете за съобщения. Ако доставчик или разработчик обяви излагане, вземете го на сериозно, дори подробностите да са оскъдни.

Ако откриете услуга, която излага данни, не изтегляйте и не ровете в записите на други хора. Докладвайте я на оператора или платформата и дотам.

Контролен списък за одит на приложения, които използвате или изграждате

Независимо дали разчитате на инструменти, изградени с изкуствен интелект, или ги създавате, този контролен списък е практична отправна точка.

Ако изграждате приложения с AI инструменти:

  • Изисквайте вход на всяка страница, която показва или променя потребителски данни, и го тествайте, докато сте излезли.
  • Потвърдете, че всеки потребител вижда само собствените си записи, а не всички.
  • Прегледайте какво съхранява генерираният код и къде. Премахнете данните, от които не се нуждаете.
  • Никога не вграждайте твърдо пароли, ключове или токени в приложение.
  • Нека някой друг, освен инструмента, прегледа настройките за сигурност преди пускане.

Ако сте потребител на такива приложения:

  • Направете списък на услугите, изградени с AI или наскоро пуснати, които държат личните ви данни.
  • Използвайте уникална парола за всяка от тях, с мениджър на пароли.
  • Включете двуфакторна автентикация, където се предлага.
  • Избягвайте качването на чувствителни документи, освен ако не се доверявате на оператора.
  • Изтрийте акаунтите, които вече не използвате, и поискайте данните ви да бъдат премахнати.

Какво означава това за вас

Повечето хора никога няма да разберат дали малко приложение е било генерирано от инструмент като Grok Build. Затова практичният отговор не е да избягвате всяка нова услуга, а да ограничите какво споделяте и да проверявате основните защити. Ако приложение, което използвате, може да е засегнато, приемете, че всичко, което сте въвели, може да е видимо, сменете преизползваните пароли и следете за необичайни имейли или сигнали за вход. VPN не решава този проблем: той защитава връзката ви, а не сигурността на сървър, който съхранява данните ви напълно без вход.

Изводи

Изтичането на данни в Grok Build, описано от Claroc, е ясен пример защо автентикацията не може да бъде мисъл след това, дори когато софтуерът се изгражда за минути. Отделете десет минути тази седмица, за да изброите услугите, изградени с AI, които държат личните ви данни, направете теста с частен прозорец върху тях и преминете през контролния списък за одит по-горе. Малки навици, като уникални пароли, двуфакторна автентикация и споделяне на по-малко, намаляват щетите, ако някоя услуга се окаже отворена.