Claroc, một nhóm nghiên cứu bảo mật, cho biết đã phát hiện một lỗ hổng nghiêm trọng ảnh hưởng đến một số lượng lớn các ứng dụng web được tạo bằng Grok Build, công cụ xây dựng ứng dụng của xAI. Theo nghiên cứu, những ứng dụng đó có thể được mở mà không cần đăng nhập. Đối với bất kỳ ai đã sử dụng một dịch vụ được xây dựng theo cách này, vụ rò rỉ dữ liệu Grok Build là lời nhắc nhở để đặt một câu hỏi cơ bản: ai thực sự có thể tiếp cận thông tin mà tôi đã trao đi?
Bản tóm tắt được công bố rất ngắn, vì vậy bài viết này chỉ dựa vào những gì đã được báo cáo và giải thích rủi ro chung đằng sau đó.
Những gì Claroc phát hiện trong các ứng dụng Grok Build
Nghiên cứu của Claroc báo cáo rằng một số lượng lớn các ứng dụng trực tuyến được tạo bằng Grok Build có thể truy cập được mà không cần bất kỳ bước đăng nhập nào. Nói cách khác, một khách truy cập không cần tài khoản, mật khẩu hay bất kỳ hình thức xác minh nào để vào được.
Bản tóm tắt mà chúng tôi có không nêu rõ những ứng dụng nào bị ảnh hưởng, có bao nhiêu người dùng liên quan, những loại dữ liệu nào bị lộ, hoặc liệu có ai thực sự đã truy cập hoặc sao chép dữ liệu đó hay chưa. Nó cũng không mô tả bất kỳ bản sửa lỗi hay phản hồi nào từ xAI. Chúng tôi sẽ không đoán những chi tiết đó. Nếu có thêm thông tin cụ thể được công bố, chúng sẽ quan trọng để đánh giá mức độ nghiêm trọng của việc phơi lộ đối với bất kỳ cá nhân cụ thể nào.
Điều mà phát hiện này cho thấy là một mô thức đáng để hiểu: khi phần mềm được tạo ra một cách nhanh chóng, những nguyên tắc bảo mật cơ bản như xác thực có thể bị bỏ qua, và người khởi chạy ứng dụng có thể không nhận ra.
Việc thiếu xác thực phơi lộ dữ liệu người dùng như thế nào
Xác thực là bước kiểm tra xác nhận bạn là ai trước khi ứng dụng hiển thị bất cứ điều gì cho bạn. Phân quyền là bước kiểm tra liên quan quyết định bạn được phép xem gì sau khi đã vào. Khi một ứng dụng không có cả hai, mọi trang và mọi bản ghi được lưu trữ đều thực sự công khai đối với bất kỳ ai tìm thấy địa chỉ.
Điều đó quan trọng vì một vài lý do:
- Không có rào cản nghĩa là không có nhật ký đáng tin. Nếu bất kỳ ai cũng có thể mở ứng dụng, thật khó để phân biệt một người dùng hợp pháp với một người lạ đang duyệt qua các bản ghi.
- Địa chỉ dễ tìm hơn người ta tưởng. Các liên kết được chia sẻ, được lập chỉ mục hoặc bị đoán ra. Một trang không được liệt kê không phải là một trang được bảo vệ.
- Các ứng dụng được tạo có thể trông như đã hoàn thiện. Một công cụ có thể tạo ra một giao diện bóng bẩy với các biểu mẫu, bảng điều khiển và cơ sở dữ liệu phía sau. Một màn hình hoạt động được không chứng minh rằng các kiểm soát truy cập phía sau nó tồn tại.
- Dữ liệu được thu thập vẫn được lưu giữ. Tên, email, tin nhắn hoặc tệp được tải lên mà người dùng đã gửi có thể nằm ở một nơi mà bất kỳ ai cũng có thể tiếp cận.
Dữ liệu bị phơi lộ cũng hữu ích cho tội phạm. Thông tin rò rỉ qua một cánh cửa mở có thể được sử dụng để lừa đảo, cố gắng chiếm đoạt tài khoản hoặc các chiến dịch gây áp lực. Để có bối cảnh về cách dữ liệu bị đánh cắp hoặc phơi lộ được biến thành đòn bẩy, hãy xem báo cáo của chúng tôi về cách nhóm ransomware Gunra mở rộng sang mô hình RaaS. Cần nói rõ, không có gì trong phát hiện của Claroc liên kết vấn đề này với ransomware; điểm mấu chốt là dữ liệu bị phơi lộ hiếm khi vô hại.
Cách nhận biết một ứng dụng hoặc dịch vụ bị phơi lộ
Bạn không cần phải là chuyên gia bảo mật để thực hiện vài kiểm tra cơ bản trên một dịch vụ bạn sử dụng.
- Mở nó trong cửa sổ riêng tư. Nếu bạn có thể thấy các trang tài khoản, bảng điều khiển hoặc bản ghi mà không cần đăng nhập, có điều gì đó không ổn.
- Kiểm tra xem các trang có thể truy cập được bằng liên kết trực tiếp không. Sao chép địa chỉ của một trang nội bộ khi đang đăng nhập, sau đó dán vào cửa sổ riêng tư. Nếu nó tải được, kiểm soát truy cập đang bị thiếu.
- Tìm chính sách quyền riêng tư và tên nhà điều hành. Các dịch vụ ẩn danh, được khởi chạy vội vàng đáng phải thận trọng hơn với dữ liệu cá nhân.
- Để ý những gì nó yêu cầu. Nếu một công cụ nhỏ muốn nhiều thông tin cá nhân hơn mức cần thiết, hãy coi đó là một dấu hiệu cảnh báo.
- Chú ý các thông báo. Nếu một nhà cung cấp hoặc nhà phát triển công bố một vụ phơi lộ, hãy xem trọng điều đó ngay cả khi chi tiết còn mỏng.
Nếu bạn tìm thấy một dịch vụ phơi lộ dữ liệu, đừng tải xuống hay tò mò xem xét các bản ghi của người khác. Hãy báo cáo cho nhà điều hành hoặc nền tảng và dừng lại ở đó.
Danh sách kiểm tra để đánh giá các ứng dụng bạn dùng hoặc xây dựng
Dù bạn dựa vào các công cụ do AI xây dựng hay tự tạo ra chúng, danh sách kiểm tra này là một điểm khởi đầu thực tế.
Nếu bạn xây dựng ứng dụng bằng công cụ AI:
- Yêu cầu đăng nhập trên mọi trang hiển thị hoặc thay đổi dữ liệu người dùng, và kiểm tra nó khi đã đăng xuất.
- Xác nhận mỗi người dùng chỉ có thể thấy bản ghi của chính họ, không phải của mọi người.
- Xem xét mã được tạo lưu trữ những gì và ở đâu. Loại bỏ dữ liệu bạn không cần.
- Không bao giờ mã hóa cứng mật khẩu, khóa hoặc token vào ứng dụng.
- Nhờ một người khác ngoài công cụ xem xét các cài đặt bảo mật trước khi khởi chạy.
Nếu bạn là người dùng của các ứng dụng như vậy:
- Liệt kê các dịch vụ do AI xây dựng hoặc mới khởi chạy đang giữ dữ liệu cá nhân của bạn.
- Sử dụng một mật khẩu riêng cho mỗi dịch vụ, với một trình quản lý mật khẩu.
- Bật xác thực hai yếu tố ở nơi nó được cung cấp.
- Tránh tải lên các tài liệu nhạy cảm trừ khi bạn tin tưởng nhà điều hành.
- Xóa các tài khoản bạn không còn sử dụng và yêu cầu xóa dữ liệu của bạn.
Điều này có ý nghĩa gì với bạn
Hầu hết mọi người sẽ không bao giờ biết liệu một ứng dụng nhỏ có được tạo bởi một công cụ như Grok Build hay không. Đó là lý do tại sao phản ứng thực tế không phải là tránh mọi dịch vụ mới, mà là hạn chế những gì bạn chia sẻ và xác minh các biện pháp bảo vệ cơ bản. Nếu một ứng dụng bạn dùng có thể bị ảnh hưởng, hãy giả định rằng bất cứ điều gì bạn đã nhập đều có thể bị nhìn thấy, thay đổi các mật khẩu bị dùng lại, và chú ý các email hoặc cảnh báo đăng nhập bất thường. Một VPN không khắc phục được vấn đề này: nó bảo vệ kết nối của bạn, không phải bảo mật của một máy chủ lưu trữ dữ liệu của bạn mà hoàn toàn không có đăng nhập.
Những điểm chính
Vụ rò rỉ dữ liệu Grok Build được Claroc mô tả là một ví dụ rõ ràng về lý do tại sao xác thực không thể là điều nghĩ sau, ngay cả khi phần mềm được xây dựng trong vài phút. Hãy dành mười phút trong tuần này để liệt kê các dịch vụ do AI xây dựng đang giữ dữ liệu cá nhân của bạn, chạy kiểm tra cửa sổ riêng tư trên chúng, và làm theo danh sách kiểm tra đánh giá ở trên. Những thói quen nhỏ, như mật khẩu riêng, xác thực hai yếu tố và chia sẻ ít hơn, sẽ giảm thiệt hại nếu bất kỳ một dịch vụ nào hóa ra là mở.
