A Claroc, egy biztonságkutató csoport azt állítja, hogy súlyos sebezhetőséget talált nagyszámú, a Grok Builddel – az xAI alkalmazásépítő eszközével – létrehozott webalkalmazásban. A kutatás szerint ezek az alkalmazások bejelentkezés nélkül megnyithatók. Mindazoknak, akik használtak ilyen módon épített szolgáltatást, a Grok Build adatszivárgás emlékeztető arra, hogy tegyenek fel egy alapvető kérdést: ki férhet hozzá ténylegesen ahhoz az információhoz, amit átadtam?
A közzétett összefoglaló rövid, ezért ez a cikk ahhoz tartja magát, amit jelentettek, és elmagyarázza az mögötte rejlő általános kockázatot.
Mit talált a Claroc a Grok Build alkalmazásaiban
A Claroc kutatása arról számol be, hogy nagyszámú, a Grok Builddel generált online alkalmazás érhető el bármilyen bejelentkezési lépés nélkül. Más szóval, a látogatónak nincs szüksége fiókra, jelszóra vagy bármilyen ellenőrzési formára a belépéshez.
A rendelkezésünkre álló összefoglaló nem mondja meg, mely alkalmazások érintettek, hány felhasználót érint, milyen adatkategóriák voltak láthatók, vagy hogy bárki ténylegesen hozzáfért-e vagy másolta-e azokat az adatokat. Azt sem írja le, hogy az xAI részéről történt-e bármilyen javítás vagy válasz. Nem fogunk találgatni ezekkel a részletekkel kapcsolatban. Ha több konkrétumot tesznek közzé, azok számítani fognak annak megítélésében, mennyire súlyos a kitettség bármely adott személy számára.
Amit a megállapítás mutat, az egy megértésre érdemes minta: amikor a szoftvert gyorsan generálják, a biztonsági alapok – például a hitelesítés – kimaradhatnak, és előfordulhat, hogy az alkalmazást indító személy ezt nem veszi észre.
Hogyan teszi ki a felhasználói adatokat a hiányzó hitelesítés
A hitelesítés az az ellenőrzés, amely megerősíti, hogy ki vagy, mielőtt az alkalmazás bármit is mutatna neked. Az engedélyezés a kapcsolódó ellenőrzés, amely eldönti, mit láthatsz, miután beléptél. Amikor egy alkalmazásnak egyik sincs meg, minden oldal és minden tárolt rekord gyakorlatilag nyilvános bárki számára, aki megtalálja a címet.
Ez néhány okból számít:
- Nincs akadály, nincsenek megbízható naplók. Ha bárki megnyithatja az alkalmazást, nehéz megkülönböztetni a legitim felhasználót a rekordokat böngésző idegentől.
- A címeket könnyebb megtalálni, mint az emberek feltételezik. A linkeket megosztják, indexelik vagy kitalálják. Egy nem listázott oldal nem védett oldal.
- A generált alkalmazások késznek tűnhetnek. Egy eszköz kifinomult felületet hozhat létre űrlapokkal, irányítópultokkal és adatbázisokkal a háttérben. Egy működő képernyő nem bizonyítja, hogy a mögötte lévő hozzáférés-vezérlés létezik.
- A gyűjtött adat gyűjtött marad. A felhasználók által beküldött nevek, e-mail-címek, üzenetek vagy feltöltött fájlok olyan helyen maradhatnak, ahová bárki elérhet.
A kiszivárgott adatok a bűnözők számára is hasznosak. A nyitott ajtón keresztül kiszivárgó információ felhasználható adathalászatra, fiókátvételi kísérletekre vagy nyomásgyakorló kampányokra. Arra vonatkozó kontextusért, hogyan válnak a ellopott vagy kiszivárgott adatok tőkeáttétellé, lásd jelentésünket arról, hogyan terjeszkedett a Gunra zsarolóvírus-csoport RaaS-modellbe. Hogy világos legyen, a Claroc megállapításaiban semmi sem kapcsolja ezt a problémát zsarolóvírusokhoz; a lényeg az, hogy a kiszivárgott adatok ritkán maradnak ártalmatlanok.
Hogyan ismerj fel egy kitett alkalmazást vagy szolgáltatást
Nem kell biztonsági szakembernek lenned ahhoz, hogy néhány józan ellenőrzést elvégezz egy általad használt szolgáltatáson.
- Nyisd meg privát ablakban. Ha bejelentkezés nélkül látsz fiókoldalakat, irányítópultokat vagy rekordokat, valami nincs rendben.
- Ellenőrizd, hogy az oldalak közvetlen linkkel elérhetők-e. Másold ki egy belső oldal címét bejelentkezve, majd illeszd be egy privát ablakba. Ha betölt, hiányzik a hozzáférés-vezérlés.
- Keress adatvédelmi szabályzatot és megnevezett üzemeltetőt. A névtelen, sietve indított szolgáltatások nagyobb óvatosságot érdemelnek a személyes adatokkal.
- Vedd észre, mit kér. Ha egy kis eszköz több személyes információt kér, mint amennyire szüksége van, kezeld ezt figyelmeztető jelként.
- Figyeld a értesítéseket. Ha egy szolgáltató vagy fejlesztő bejelent egy kitettséget, vedd komolyan, még ha a részletek hiányosak is.
Ha olyan szolgáltatást találsz, amely adatokat tesz ki, ne tölts le és ne kutakodj mások rekordjaiban. Jelentsd az üzemeltetőnek vagy a platformnak, és hagyd ennyiben.
Ellenőrzőlista a használt vagy épített alkalmazások auditálásához
Akár AI-val épített eszközökre támaszkodsz, akár te hozod létre őket, ez az ellenőrzőlista gyakorlati kiindulópont.
Ha AI-eszközökkel építesz alkalmazásokat:
- Követelj meg bejelentkezést minden oldalon, amely felhasználói adatokat mutat vagy változtat, és teszteld kijelentkezve.
- Erősítsd meg, hogy minden felhasználó csak a saját rekordjait láthatja, nem mindenkiét.
- Vizsgáld felül, mit tárol a generált kód, és hol. Távolítsd el a szükségtelen adatokat.
- Soha ne égesd be a jelszavakat, kulcsokat vagy tokeneket az alkalmazásba.
- Az indítás előtt az eszközön kívül valaki más is vizsgálja felül a biztonsági beállításokat.
Ha ilyen alkalmazások felhasználója vagy:
- Sorold fel az AI-val épített vagy nemrég indított szolgáltatásokat, amelyek a személyes adataidat tárolják.
- Használj egyedi jelszót mindegyikhez, jelszókezelővel.
- Kapcsold be a kétfaktoros hitelesítést, ahol kínálják.
- Kerüld az érzékeny dokumentumok feltöltését, hacsak nem bízol az üzemeltetőben.
- Töröld a már nem használt fiókokat, és kérd az adataid eltávolítását.
Mit jelent ez számodra
A legtöbb ember soha nem fogja megtudni, hogy egy kis alkalmazást egy olyan eszközzel generáltak-e, mint a Grok Build. Ezért a gyakorlati válasz nem az, hogy kerüld az összes új szolgáltatást, hanem hogy korlátozd, mit osztasz meg, és ellenőrizd az alapvető védelmet. Ha egy általad használt alkalmazás érintett lehet, feltételezd, hogy bármi, amit megadtál, látható lehet, változtasd meg az újrahasznált jelszavakat, és figyeld a szokatlan e-maileket vagy bejelentkezési riasztásokat. Egy VPN nem oldja meg ezt a problémát: a kapcsolatodat védi, nem annak a szervernek a biztonságát, amely bejelentkezés nélkül tárolja az adataidat.
Fő tanulságok
A Claroc által leírt Grok Build adatszivárgás világos példa arra, miért nem lehet a hitelesítés utólagos gondolat, még akkor sem, ha a szoftvert percek alatt építik. Szánj tíz percet ezen a héten, hogy felsorold az AI-val épített szolgáltatásokat, amelyek a személyes adataidat tárolják, végezd el rajtuk a privát ablakos tesztet, és dolgozd végig a fenti audit ellenőrzőlistát. Az apró szokások – mint az egyedi jelszavak, a kétfaktoros hitelesítés és a kevesebb megosztás – csökkentik a kárt, ha bármelyik szolgáltatásról kiderül, hogy nyitva van.
