Claroc, tietoturvatutkimusryhmä, kertoo löytäneensä vakavan haavoittuvuuden, joka vaikuttaa suureen määrään Grok Buildilla luotuja verkkosovelluksia – Grok Build on xAI:n sovelluksenrakennustyökalu. Tutkimuksen mukaan kyseiset sovellukset voi avata ilman kirjautumista. Kaikille, jotka ovat käyttäneet tällä tavoin rakennettua palvelua, Grok Build -tietovuoto on muistutus perustavanlaatuisesta kysymyksestä: kuka oikeastaan pääsee käsiksi tietoihin, jotka luovutin?
Julkaistu yhteenveto on lyhyt, joten tämä artikkeli pitäytyy siinä, mitä on raportoitu, ja selittää sen taustalla olevan yleisen riskin.
Mitä Claroc löysi Grok Build -sovelluksista
Clarocin tutkimus raportoi, että suuri määrä Grok Buildilla luotuja verkkosovelluksia on saavutettavissa ilman minkäänlaista kirjautumisvaihetta. Toisin sanoen kävijä ei tarvitse tiliä, salasanaa tai minkäänlaista vahvistusta päästäkseen sisään.
Käytettävissämme oleva yhteenveto ei kerro, mitkä sovellukset ovat vaikutuksen alaisia, kuinka monta käyttäjää on mukana, minkä tyyppisiä tietoja oli näkyvissä tai onko kukaan todella käyttänyt tai kopioinut kyseisiä tietoja. Se ei myöskään kuvaile mitään korjausta tai xAI:n vastausta. Emme aio arvailla näitä yksityiskohtia. Jos tarkempia tietoja julkaistaan, ne ovat merkityksellisiä arvioitaessa, kuinka vakava altistuminen on kenellekin.
Se, mitä löydös kuitenkin osoittaa, on ymmärtämisen arvoinen kaava: kun ohjelmisto luodaan nopeasti, turvallisuuden perusasiat, kuten todennus, voidaan ohittaa, eikä sovelluksen käynnistäjä välttämättä huomaa sitä.
Miten puuttuva todennus altistaa käyttäjätiedot
Todennus on tarkistus, joka vahvistaa, kuka olet, ennen kuin sovellus näyttää sinulle mitään. Valtuutus on siihen liittyvä tarkistus, joka päättää, mitä sinulla on oikeus nähdä sisään päästyäsi. Kun sovelluksessa ei ole kumpaakaan, jokainen sivu ja jokainen tallennettu tietue on käytännössä julkinen kenelle tahansa, joka löytää osoitteen.
Tällä on merkitystä muutamasta syystä:
- Ei estettä tarkoittaa, ettei lokeihin voi luottaa. Jos kuka tahansa voi avata sovelluksen, on vaikea erottaa laillinen käyttäjä tietueita selaavasta muukalaisesta.
- Osoitteet ovat helpommin löydettävissä kuin ihmiset olettavat. Linkkejä jaetaan, indeksoidaan tai arvataan. Listaamaton sivu ei ole suojattu sivu.
- Luodut sovellukset voivat näyttää valmiilta. Työkalu voi tuottaa viimeistellyn käyttöliittymän, jossa on lomakkeita, kojelautoja ja tietokantoja taustalla. Toimiva näyttö ei todista, että sen takana olevat käyttöoikeudet ovat olemassa.
- Kerätyt tiedot pysyvät kerättyinä. Nimet, sähköpostiosoitteet, viestit tai ladatut tiedostot, jotka käyttäjät ovat lähettäneet, voivat olla paikassa, johon kuka tahansa pääsee.
Altistuneet tiedot ovat myös hyödyllisiä rikollisille. Avoimesta ovesta vuotavia tietoja voidaan käyttää tietojenkalasteluun, tilin kaappausyrityksiin tai painostuskampanjoihin. Siitä, miten varastetut tai altistuneet tiedot muutetaan painostuskeinoksi, katso raporttimme siitä, miten Gunra-kiristysryhmä laajensi RaaS-malliin. Selvyyden vuoksi: mikään Clarocin löydöksissä ei yhdistä tätä ongelmaa kiristyshaittaohjelmiin; pointti on, että altistuneet tiedot harvoin pysyvät vaarattomina.
Miten tunnistaa altistunut sovellus tai palvelu
Sinun ei tarvitse olla tietoturva-ammattilainen tehdäksesi muutaman järkevyystarkistuksen käyttämällesi palvelulle.
- Avaa se yksityisessä ikkunassa. Jos näet tili sivut, kojelaudat tai tietueet kirjautumatta sisään, jokin on vialla.
- Tarkista, ovatko sivut saavutettavissa suoralla linkillä. Kopioi sisäisen sivun osoite kirjautuneena ja liitä se yksityiseen ikkunaan. Jos se latautuu, käyttöoikeuksien valvonta puuttuu.
- Etsi tietosuojakäytäntö ja nimetty ylläpitäjä. Nimettömät, hätäisesti käynnistetyt palvelut ansaitsevat enemmän varovaisuutta henkilötietojen kanssa.
- Huomioi, mitä se pyytää. Jos pieni työkalu pyytää enemmän henkilötietoja kuin se tarvitsee, pidä sitä varoitusmerkkinä.
- Seuraa ilmoituksia. Jos palveluntarjoaja tai kehittäjä ilmoittaa altistumisesta, ota se vakavasti, vaikka yksityiskohdat olisivat niukkoja.
Jos löydät palvelun, joka altistaa tietoja, älä lataa tai penko muiden ihmisten tietueita. Ilmoita siitä ylläpitäjälle tai alustalle ja jätä asia siihen.
Tarkistuslista käyttämiesi tai rakentamiesi sovellusten auditoimiseen
Riippuitpa tekoälyn rakentamista työkaluista tai luotpa niitä itse, tämä tarkistuslista on käytännöllinen lähtökohta.
Jos rakennat sovelluksia tekoälytyökaluilla:
- Vaadi kirjautuminen jokaisella sivulla, joka näyttää tai muuttaa käyttäjätietoja, ja testaa sitä kirjautumatta.
- Varmista, että jokainen käyttäjä näkee vain omat tietueensa, ei kaikkien.
- Käy läpi, mitä luotu koodi tallentaa ja minne. Poista tarpeettomat tiedot.
- Älä koskaan kovakoodaa salasanoja, avaimia tai tokeneita sovellukseen.
- Anna jonkun muun kuin työkalun tarkistaa turvallisuusasetukset ennen käynnistystä.
Jos olet tällaisten sovellusten käyttäjä:
- Listaa tekoälyllä rakennetut tai äskettäin käynnistetyt palvelut, joilla on henkilötietojasi.
- Käytä jokaisessa ainutlaatuista salasanaa salasananhallinnan avulla.
- Ota kaksivaiheinen todennus käyttöön, jos se on tarjolla.
- Vältä arkaluontoisten asiakirjojen lataamista, ellet luota ylläpitäjään.
- Poista tilit, joita et enää käytä, ja pyydä tietojesi poistamista.
Mitä tämä tarkoittaa sinulle
Useimmat ihmiset eivät koskaan saa tietää, onko pieni sovellus luotu Grok Buildin kaltaisella työkalulla. Siksi käytännön vastaus ei ole välttää kaikkia uusia palveluita, vaan rajoittaa sitä, mitä jaat, ja varmistaa perussuojaukset. Jos käyttämäsi sovellus saattaa olla vaikutuksen alainen, oleta, että kaikki syöttämäsi on voinut olla näkyvissä, vaihda uudelleenkäytetyt salasanat ja seuraa epätavallisia sähköposteja tai kirjautumishälytyksiä. VPN ei korjaa tätä ongelmaa: se suojaa yhteytesi, ei sellaisen palvelimen turvallisuutta, joka tallentaa tietosi ilman minkäänlaista kirjautumista.
Keskeiset huomiot
Clarocin kuvaama Grok Build -tietovuoto on selkeä esimerkki siitä, miksi todennus ei voi olla jälkikäteen mietitty asia, vaikka ohjelmisto rakennettaisiin minuuteissa. Käytä kymmenen minuuttia tällä viikolla listataksesi tekoälyllä rakennetut palvelut, joilla on henkilötietojasi, tee niille yksityisen ikkunan testi ja käy läpi yllä oleva auditointitarkistuslista. Pienet tavat, kuten ainutlaatuiset salasanat, kaksivaiheinen todennus ja vähemmän jakaminen, vähentävät vahinkoa, jos jokin palvelu osoittautuu avoimeksi.
