Claroc, sebuah kelompok riset keamanan, mengatakan telah menemukan kerentanan serius yang memengaruhi sejumlah besar aplikasi web yang dibuat dengan Grok Build, alat pembuat aplikasi milik xAI. Menurut riset tersebut, aplikasi-aplikasi itu dapat dibuka tanpa login. Bagi siapa pun yang pernah menggunakan layanan yang dibangun dengan cara ini, kebocoran data Grok Build adalah pengingat untuk mengajukan pertanyaan mendasar: siapa yang sebenarnya dapat menjangkau informasi yang saya serahkan?
Ringkasan yang diterbitkan singkat, jadi artikel ini berpegang pada apa yang telah dilaporkan dan menjelaskan risiko umum di baliknya.
Apa yang ditemukan Claroc di aplikasi Grok Build
Riset Claroc melaporkan bahwa sejumlah besar aplikasi online yang dihasilkan dengan Grok Build dapat diakses tanpa langkah login apa pun. Dengan kata lain, pengunjung tidak memerlukan akun, kata sandi, atau bentuk verifikasi apa pun untuk masuk.
Ringkasan yang kami miliki tidak menyebutkan aplikasi mana yang terdampak, berapa banyak pengguna yang terlibat, kategori data apa yang terlihat, atau apakah ada orang yang benar-benar mengakses atau menyalin data tersebut. Ringkasan itu juga tidak menjelaskan perbaikan atau tanggapan apa pun dari xAI. Kami tidak akan menebak-nebak detail tersebut. Jika rincian lebih spesifik diterbitkan, itu akan penting untuk menilai seberapa serius paparan tersebut bagi seseorang tertentu.
Yang ditunjukkan oleh temuan ini adalah pola yang layak dipahami: ketika perangkat lunak dihasilkan dengan cepat, dasar-dasar keamanan seperti autentikasi dapat terlewat, dan orang yang meluncurkan aplikasi mungkin tidak menyadarinya.
Bagaimana autentikasi yang hilang mengekspos data pengguna
Autentikasi adalah pemeriksaan yang mengonfirmasi siapa Anda sebelum aplikasi menampilkan apa pun kepada Anda. Otorisasi adalah pemeriksaan terkait yang menentukan apa yang boleh Anda lihat setelah Anda masuk. Ketika sebuah aplikasi tidak memiliki keduanya, setiap halaman dan setiap catatan yang tersimpan secara efektif menjadi publik bagi siapa pun yang menemukan alamatnya.
Itu penting karena beberapa alasan:
- Tanpa penghalang berarti tidak ada log yang layak dipercaya. Jika siapa pun dapat membuka aplikasi, sulit membedakan pengguna sah dari orang asing yang menjelajahi catatan.
- Alamat lebih mudah ditemukan daripada yang orang duga. Tautan dibagikan, diindeks, atau ditebak. Halaman yang tidak terdaftar bukanlah halaman yang terlindungi.
- Aplikasi hasil generasi bisa terlihat selesai. Sebuah alat dapat menghasilkan antarmuka yang rapi dengan formulir, dasbor, dan basis data di belakangnya. Layar yang berfungsi tidak membuktikan bahwa kontrol akses di baliknya ada.
- Data yang dikumpulkan tetap terkumpul. Nama, email, pesan, atau file yang diunggah yang dikirimkan pengguna mungkin berada di tempat yang dapat dijangkau siapa pun.
Data yang terekspos juga berguna bagi para pelaku kejahatan. Informasi yang bocor melalui pintu terbuka dapat digunakan untuk phishing, upaya pengambilalihan akun, atau kampanye tekanan. Untuk konteks tentang bagaimana data yang dicuri atau terekspos diubah menjadi alat pemerasan, lihat laporan kami tentang bagaimana kelompok ransomware Gunra berekspansi ke model RaaS. Untuk jelasnya, tidak ada apa pun dalam temuan Claroc yang mengaitkan masalah ini dengan ransomware; intinya adalah data yang terekspos jarang tetap tidak berbahaya.
Cara mengenali aplikasi atau layanan yang terekspos
Anda tidak perlu menjadi profesional keamanan untuk melakukan beberapa pemeriksaan kewajaran pada layanan yang Anda gunakan.
- Bukalah di jendela privat. Jika Anda dapat melihat halaman akun, dasbor, atau catatan tanpa masuk, ada sesuatu yang salah.
- Periksa apakah halaman dapat diakses melalui tautan langsung. Salin alamat halaman internal saat Anda masuk, lalu tempelkan ke jendela privat. Jika halaman itu termuat, kontrol aksesnya hilang.
- Carilah kebijakan privasi dan operator yang namanya jelas. Layanan anonim yang diluncurkan terburu-buru perlu lebih berhati-hati dengan data pribadi.
- Perhatikan apa yang dimintanya. Jika sebuah alat kecil meminta lebih banyak informasi pribadi daripada yang dibutuhkannya, anggap itu sebagai tanda peringatan.
- Perhatikan pemberitahuan. Jika penyedia atau pengembang mengumumkan suatu paparan, anggap serius meskipun detailnya minim.
Jika Anda menemukan layanan yang mengekspos data, jangan mengunduh atau mengutak-atik catatan orang lain. Laporkan kepada operator atau platform dan tinggalkan di situ.
Daftar periksa untuk mengaudit aplikasi yang Anda gunakan atau bangun
Baik Anda mengandalkan alat yang dibangun dengan AI atau membuatnya sendiri, daftar periksa ini adalah titik awal yang praktis.
Jika Anda membangun aplikasi dengan alat AI:
- Wajibkan login di setiap halaman yang menampilkan atau mengubah data pengguna, dan ujilah saat dalam keadaan logout.
- Pastikan setiap pengguna hanya dapat melihat catatannya sendiri, bukan catatan semua orang.
- Tinjau apa yang disimpan oleh kode yang dihasilkan, dan di mana. Hapus data yang tidak Anda butuhkan.
- Jangan pernah menuliskan kata sandi, kunci, atau token secara langsung (hard-code) ke dalam aplikasi.
- Mintalah orang selain alat tersebut untuk meninjau pengaturan keamanan sebelum peluncuran.
Jika Anda pengguna aplikasi semacam itu:
- Daftarkan layanan yang dibangun dengan AI atau yang baru diluncurkan yang menyimpan data pribadi Anda.
- Gunakan kata sandi unik untuk masing-masingnya, dengan pengelola kata sandi.
- Aktifkan autentikasi dua faktor di tempat yang menyediakannya.
- Hindari mengunggah dokumen sensitif kecuali Anda memercayai operatornya.
- Hapus akun yang tidak lagi Anda gunakan dan minta data Anda dihapus.
Apa Artinya Ini Bagi Anda
Sebagian besar orang tidak akan pernah tahu apakah sebuah aplikasi kecil dihasilkan oleh alat seperti Grok Build. Itulah sebabnya respons praktisnya bukan menghindari setiap layanan baru, tetapi membatasi apa yang Anda bagikan dan memverifikasi perlindungan dasar. Jika aplikasi yang Anda gunakan mungkin terdampak, anggap apa pun yang Anda masukkan bisa terlihat, ganti kata sandi yang digunakan ulang, dan waspadai email atau pemberitahuan login yang tidak biasa. VPN tidak memperbaiki masalah ini: VPN melindungi koneksi Anda, bukan keamanan server yang menyimpan data Anda tanpa login sama sekali.
Poin Penting
Kebocoran data Grok Build yang dijelaskan oleh Claroc adalah contoh jelas mengapa autentikasi tidak boleh dianggap sebagai hal belakangan, bahkan ketika perangkat lunak dibangun dalam hitungan menit. Luangkan sepuluh menit minggu ini untuk mendaftar layanan yang dibangun dengan AI yang menyimpan data pribadi Anda, jalankan uji jendela privat pada layanan tersebut, dan kerjakan daftar periksa audit di atas. Kebiasaan kecil, seperti kata sandi unik, autentikasi dua faktor, dan berbagi lebih sedikit, mengurangi kerusakan jika salah satu layanan ternyata terbuka.
