Claroc, grupa za sigurnosna istraživanja, tvrdi da je pronašla ozbiljnu ranjivost koja pogađa velik broj web aplikacija izrađenih pomoću Grok Builda, alata za izradu aplikacija tvrtke xAI. Prema istraživanju, te se aplikacije mogu otvoriti bez prijave. Za svakoga tko je koristio uslugu izgrađenu na taj način, curenje podataka u Grok Buildu podsjetnik je da postavi jednostavno pitanje: tko zapravo može doći do informacija koje sam predao?

Objavljeni sažetak je kratak, pa se ovaj članak drži onoga što je objavljeno i objašnjava opći rizik koji stoji za tim.

Što je Claroc pronašao u Grok Build aplikacijama

Clarocovo istraživanje izvješćuje da je velik broj online aplikacija generiranih pomoću Grok Builda dostupan bez ikakvog koraka prijave. Drugim riječima, posjetitelju nije potreban račun, lozinka ni bilo kakav oblik provjere da bi ušao.

Sažetak koji imamo ne navodi koje su aplikacije pogođene, koliko je korisnika uključeno, koje su kategorije podataka bile vidljive ni je li netko stvarno pristupio tim podacima ili ih kopirao. Također ne opisuje nikakvo rješenje ni odgovor tvrtke xAI. Nećemo nagađati o tim detaljima. Ako se objave dodatne pojedinosti, bit će važne za procjenu koliko je izloženost ozbiljna za pojedinu osobu.

Ono što nalaz pokazuje jest obrazac koji vrijedi razumjeti: kada se softver generira brzo, osnove sigurnosti poput autentifikacije mogu biti preskočene, a osoba koja pokreće aplikaciju to možda neće primijetiti.

Kako nedostatak autentifikacije izlaže korisničke podatke

Autentifikacija je provjera koja potvrđuje tko ste prije nego što vam aplikacija išta pokaže. Autorizacija je povezana provjera koja odlučuje što smijete vidjeti nakon što uđete. Kada aplikacija nema ni jedno ni drugo, svaka je stranica i svaki pohranjeni zapis praktički javan svakome tko pronađe adresu.

To je važno iz nekoliko razloga:

  • Bez barijere nema zapisa kojima se može vjerovati. Ako svatko može otvoriti aplikaciju, teško je razlikovati legitimnog korisnika od stranca koji pregledava zapise.
  • Adrese je lakše pronaći nego što ljudi pretpostavljaju. Linkovi se dijele, indeksiraju ili pogađaju. Neobjavljena stranica nije zaštićena stranica.
  • Generirane aplikacije mogu izgledati dovršeno. Alat može proizvesti uglađeno sučelje s obrascima, nadzornim pločama i bazama podataka iza njega. Radni zaslon ne dokazuje da kontrolni mehanizmi pristupa iza njega postoje.
  • Prikupljeni podaci ostaju prikupljeni. Imena, e-adrese, poruke ili prenesene datoteke koje su korisnici poslali mogu stajati na mjestu do kojeg svatko može doći.

Izloženi podaci korisni su i kriminalcima. Informacije koje procure kroz otvorena vrata mogu se iskoristiti za phishing, pokušaje preuzimanja računa ili kampanje pritiska. Za kontekst o tome kako se ukradeni ili izloženi podaci pretvaraju u polugu, pogledajte naše izvješće o tome kako se Gunra ransomware grupa proširila na RaaS model. Da bude jasno, ništa u Clarocovim nalazima ne povezuje ovaj problem s ransomwareom; poanta je da izloženi podaci rijetko ostaju bezopasni.

Kako prepoznati izloženu aplikaciju ili uslugu

Ne morate biti sigurnosni stručnjak da biste proveli nekoliko osnovnih provjera na usluzi koju koristite.

  1. Otvorite je u privatnom prozoru. Ako možete vidjeti stranice računa, nadzorne ploče ili zapise bez prijave, nešto nije u redu.
  2. Provjerite jesu li stranice dostupne izravnim linkom. Kopirajte adresu interne stranice dok ste prijavljeni, a zatim je zalijepite u privatni prozor. Ako se učita, kontrola pristupa nedostaje.
  3. Potražite politiku privatnosti i imenovanog operatera. Anonimne, brzopleto pokrenute usluge zaslužuju više opreza s osobnim podacima.
  4. Obratite pozornost na to što traži. Ako mali alat traži više osobnih podataka nego što mu je potrebno, shvatite to kao znak upozorenja.
  5. Pazite na obavijesti. Ako pružatelj usluge ili developer objavi izloženost, shvatite to ozbiljno čak i ako su detalji oskudni.

Ako pronađete uslugu koja izlaže podatke, nemojte preuzimati ni čeprkati po tuđim zapisima. Prijavite to operateru ili platformi i ostavite to tako.

Kontrolni popis za reviziju aplikacija koje koristite ili izrađujete

Bilo da se oslanjate na alate izgrađene umjetnom inteligencijom ili ih sami stvarate, ovaj je kontrolni popis praktična početna točka.

Ako izrađujete aplikacije pomoću AI alata:

  • Zahtijevajte prijavu na svakoj stranici koja prikazuje ili mijenja korisničke podatke i testirajte to dok ste odjavljeni.
  • Potvrdite da svaki korisnik može vidjeti samo svoje zapise, a ne tuđe.
  • Pregledajte što generirani kod pohranjuje i gdje. Uklonite podatke koji vam nisu potrebni.
  • Nikada ne upisujte lozinke, ključeve ili tokene izravno u kod aplikacije.
  • Neka netko osim alata pregleda sigurnosne postavke prije pokretanja.

Ako ste korisnik takvih aplikacija:

  • Napravite popis usluga izgrađenih AI alatima ili nedavno pokrenutih koje čuvaju vaše osobne podatke.
  • Koristite jedinstvenu lozinku za svaku od njih, uz upravitelj lozinkama.
  • Uključite dvofaktorsku autentifikaciju gdje je ponuđena.
  • Izbjegavajte prenošenje osjetljivih dokumenata osim ako vjerujete operateru.
  • Izbrišite račune koje više ne koristite i zatražite uklanjanje svojih podataka.

Što to znači za vas

Većina ljudi nikada neće znati je li malu aplikaciju generirao alat poput Grok Builda. Zato praktičan odgovor nije izbjegavati svaku novu uslugu, već ograničiti ono što dijelite i provjeriti osnovne zaštite. Ako bi aplikacija koju koristite mogla biti pogođena, pretpostavite da je sve što ste unijeli moglo biti vidljivo, promijenite ponovno korištene lozinke i pazite na neobične e-poruke ili upozorenja o prijavi. VPN ne rješava ovaj problem: štiti vašu vezu, a ne sigurnost poslužitelja koji čuva vaše podatke posve bez prijave.

Ključne poruke

Curenje podataka u Grok Buildu koje opisuje Claroc jasan je primjer zašto autentifikacija ne može biti naknadna misao, čak i kada se softver izrađuje u nekoliko minuta. Odvojite deset minuta ovog tjedna da popišete AI usluge koje čuvaju vaše osobne podatke, provedite na njima test privatnog prozora i prođite kroz gornji kontrolni popis za reviziju. Male navike, poput jedinstvenih lozinki, dvofaktorske autentifikacije i dijeljenja manje, smanjuju štetu ako se pokaže da je neka usluga otvorena.