Claroc adlı bir güvenlik araştırma grubu, xAI'nin uygulama geliştirme aracı Grok Build ile oluşturulan çok sayıda web uygulamasını etkileyen ciddi bir güvenlik açığı bulduğunu açıkladı. Araştırmaya göre bu uygulamalar giriş yapılmadan açılabiliyor. Bu şekilde oluşturulmuş bir hizmeti kullanan herkes için Grok Build veri sızıntısı, temel bir soruyu sormak için bir hatırlatıcıdır: Teslim ettiğim bilgilere gerçekte kimler erişebiliyor?
Yayımlanan özet kısa olduğundan bu makale, bildirilenlerle sınırlı kalıyor ve bunun arkasındaki genel riski açıklıyor.
Claroc'un Grok Build uygulamalarında buldukları
Claroc'un araştırması, Grok Build ile oluşturulan çok sayıda çevrimiçi uygulamaya herhangi bir giriş adımı olmadan erişilebildiğini bildiriyor. Başka bir deyişle, bir ziyaretçinin içeri girmek için bir hesaba, şifreye veya herhangi bir doğrulama biçimine ihtiyacı yok.
Elimizdeki özet, hangi uygulamaların etkilendiğini, kaç kullanıcının dahil olduğunu, hangi veri kategorilerinin görünür olduğunu veya herhangi birinin bu verilere gerçekten erişip erişmediğini ya da kopyalayıp kopyalamadığını söylemiyor. Ayrıca xAI'den herhangi bir düzeltme veya yanıt da tanımlamıyor. Bu ayrıntılar hakkında tahmin yürütmeyeceğiz. Daha fazla ayrıntı yayımlanırsa, bunlar herhangi bir kişi için maruziyetin ne kadar ciddi olduğunu değerlendirmek açısından önemli olacaktır.
Bulgu, anlaşılması gereken bir örüntüyü gösteriyor: Yazılım hızlı bir şekilde oluşturulduğunda, kimlik doğrulama gibi güvenlik temelleri atlanabilir ve uygulamayı başlatan kişi bunu fark etmeyebilir.
Kimlik doğrulamanın eksikliği kullanıcı verilerini nasıl açığa çıkarır
Kimlik doğrulama, bir uygulama size herhangi bir şey göstermeden önce kim olduğunuzu onaylayan kontroldür. Yetkilendirme ise içeri girdikten sonra neyi görmenize izin verildiğine karar veren ilgili kontroldür. Bir uygulamada her ikisi de yoksa, her sayfa ve depolanan her kayıt, adresi bulan herkes için fiilen herkese açıktır.
Bu birkaç nedenden dolayı önemlidir:
- Bariyer yoksa güvenilir kayıt da yoktur. Uygulamayı herkes açabiliyorsa, meşru bir kullanıcıyı kayıtlara göz atan bir yabancıdan ayırt etmek zordur.
- Adresleri bulmak insanların sandığından daha kolaydır. Bağlantılar paylaşılır, dizinlenir veya tahmin edilir. Listelenmemiş bir sayfa, korunan bir sayfa değildir.
- Oluşturulan uygulamalar tamamlanmış görünebilir. Bir araç, arkasında formlar, panolar ve veritabanları olan cilalı bir arayüz üretebilir. Çalışan bir ekran, arkasındaki erişim kontrollerinin var olduğunu kanıtlamaz.
- Toplanan veri toplanmış olarak kalır. Kullanıcıların gönderdiği adlar, e-postalar, mesajlar veya yüklenen dosyalar herkesin erişebileceği bir yerde bulunabilir.
Açığa çıkan veriler suçlular için de kullanışlıdır. Açık bir kapıdan sızan bilgiler kimlik avı, hesap ele geçirme girişimleri veya baskı kampanyaları için kullanılabilir. Çalınan veya açığa çıkan verilerin nasıl koz haline getirildiğine dair bağlam için Gunra fidye yazılımı grubunun RaaS modeline genişlemesi hakkındaki raporumuza bakın. Açık olmak gerekirse, Claroc'un bulgularında bu sorunu fidye yazılımıyla ilişkilendiren hiçbir şey yoktur; mesele, açığa çıkan verilerin nadiren zararsız kaldığıdır.
Açığa çıkmış bir uygulamayı veya hizmeti nasıl fark edersiniz
Kullandığınız bir hizmet üzerinde birkaç sağlamlık kontrolü yapmak için güvenlik uzmanı olmanıza gerek yok.
- Gizli pencerede açın. Giriş yapmadan hesap sayfalarını, panoları veya kayıtları görebiliyorsanız, bir sorun var demektir.
- Sayfaların doğrudan bağlantıyla erişilebilir olup olmadığını kontrol edin. Giriş yapmışken bir iç sayfanın adresini kopyalayın, ardından gizli bir pencereye yapıştırın. Yükleniyorsa, erişim kontrolü eksiktir.
- Bir gizlilik politikası ve adı belirtilmiş bir işletmeci arayın. Anonim, aceleyle başlatılan hizmetler kişisel veriler konusunda daha fazla dikkat gerektirir.
- Ne istediğine dikkat edin. Küçük bir araç ihtiyacından fazla kişisel bilgi istiyorsa, bunu bir uyarı işareti olarak değerlendirin.
- Bildirimleri takip edin. Bir sağlayıcı veya geliştirici bir maruziyet duyurursa, ayrıntılar yetersiz olsa bile bunu ciddiye alın.
Verileri açığa çıkaran bir hizmet bulursanız, başkalarının kayıtlarını indirmeyin veya kurcalamayın. Durumu işletmeciye veya platforma bildirin ve orada bırakın.
Kullandığınız veya oluşturduğunuz uygulamaları denetlemek için bir kontrol listesi
İster yapay zeka ile oluşturulmuş araçlara güveniyor olun ister bunları kendiniz oluşturuyor olun, bu kontrol listesi pratik bir başlangıç noktasıdır.
Yapay zeka araçlarıyla uygulama oluşturuyorsanız:
- Kullanıcı verilerini gösteren veya değiştiren her sayfada giriş zorunlu olsun ve bunu oturum kapalıyken test edin.
- Her kullanıcının yalnızca kendi kayıtlarını görebildiğini, herkesinkini değil, doğrulayın.
- Oluşturulan kodun neyi ve nerede depoladığını gözden geçirin. İhtiyacınız olmayan verileri kaldırın.
- Şifreleri, anahtarları veya belirteçleri asla uygulamaya sabit kodlamayın.
- Yayına almadan önce güvenlik ayarlarını araç dışında birinin gözden geçirmesini sağlayın.
Bu tür uygulamaların kullanıcısıysanız:
- Kişisel verilerinizi tutan yapay zeka ile oluşturulmuş veya yeni başlatılmış hizmetleri listeleyin.
- Her biri için bir parola yöneticisiyle benzersiz bir şifre kullanın.
- Sunulduğu yerlerde iki faktörlü kimlik doğrulamayı açın.
- İşletmeciye güvenmiyorsanız hassas belgeler yüklemekten kaçının.
- Artık kullanmadığınız hesapları silin ve verilerinizin kaldırılmasını talep edin.
Bu Sizin İçin Ne Anlama Geliyor
Çoğu insan küçük bir uygulamanın Grok Build gibi bir araçla oluşturulup oluşturulmadığını asla bilemeyecek. Bu nedenle pratik yanıt her yeni hizmetten kaçınmak değil, paylaştıklarınızı sınırlamak ve temel korumaları doğrulamaktır. Kullandığınız bir uygulama etkilenmiş olabilirse, girdiğiniz her şeyin görünür olabileceğini varsayın, yeniden kullanılan şifreleri değiştirin ve olağandışı e-postaları veya giriş uyarılarını takip edin. Bir VPN bu sorunu çözmez: Bağlantınızı korur, ancak verilerinizi hiç giriş olmadan depolayan bir sunucunun güvenliğini korumaz.
Çıkarımlar
Claroc'un tanımladığı Grok Build veri sızıntısı, yazılım dakikalar içinde oluşturulsa bile kimlik doğrulamanın neden sonradan düşünülecek bir şey olamayacağının açık bir örneğidir. Bu hafta on dakikanızı ayırıp kişisel verilerinizi tutan yapay zeka ile oluşturulmuş hizmetleri listeleyin, bunlar üzerinde gizli pencere testini çalıştırın ve yukarıdaki denetim kontrol listesini uygulayın. Benzersiz şifreler, iki faktörlü kimlik doğrulama ve daha az paylaşım gibi küçük alışkanlıklar, herhangi bir hizmetin açık çıkması durumunda zararı azaltır.
