Исследователи Claroc обнаружили в интернете 37 571 приложение, созданное через Grok Build; 35 578 из них открывались без аутентификации. По их оценке, около каждого десятого публичного приложения содержало внутренние рабочие или персональные данные, а примерно 2% — материалы высокого или критического уровня чувствительности.
Большая часть найденных приложений была относительно безобидной: игры, посадочные страницы и калькуляторы. Однако среди доступных извне экземпляров оказались данные как минимум 30 идентифицированных организаций из строительства, энергетики, здравоохранения и оборонной сферы. В 26 из них работает более 1 000 человек, шесть входят в Fortune 500.
Какие данные оказались доступны
Отдельно Claroc выявила 24 публичных приложения, созданных сотрудниками X и SpaceXSI — компании-разработчика Grok, ранее известной как xAI. Среди содержимого были конфиденциальный план адаптации нового сотрудника отдела продаж, карта территорий продаж с данными 594 аккаунтов и рекламное предложение X для федерального ведомства США с пометкой «конфиденциально».
По данным исследователей, SpaceXSI удалила все 24 приложения, связанные с ее сотрудниками, но не приложения других пользователей.
В других открытых приложениях исследователи обнаружили, в частности:
- доступный для поиска список из более чем 3 500 сотрудников группы больниц;
- отчет отделения интенсивной терапии об одном пациенте;
- табло дежурств пожарной части в реальном времени;
- табель подрядчика, в коде которого находились пароли всех сотрудников в открытом виде.
Названия приложений и их адреса Claroc не публиковала. Исследователи начали уведомлять затронутые организации по электронной почте и на момент выхода отчета успели связаться с тремя из них.
Как приложения становятся видимыми
Grok Build позволяет собрать работающее приложение по текстовому описанию в чате. Функция стала доступна на всех тарифах Grok 19 августа. Ее не следует путать с одноименным отдельным инструментом программирования в терминале, о загрузках в репозитории которого сообщалось 14 июля.
После публикации каждое приложение получает отдельный поддомен в зоне grok[.]me. Согласно описанию механизма публикации, приложение не становится доступным до нажатия создателем кнопки публикации. Однако при тестировании платной учетной записи исследователи увидели на следующем шаге три варианта доступа: «Любой, у кого есть ссылка», «Приглашенные пользователи» и «Только вы». Вариант «Любой, у кого есть ссылка» уже был выбран.
Такая модель не означает, что адрес останется неизвестным. При открытии приложения устройство посетителя запрашивает его поддомен через DNS, а сервисы пассивного DNS фиксируют эти запросы. Пользователь с доступом к таким данным может искать записи по шаблону и находить адреса приложений.
Grok предлагает для названия приложения комбинацию из четырех случайных слов; приблизительно половина обнаруженных имен соответствовала этому шаблону. Угадать такую комбинацию сложно, но это не помогает, если имя уже попало в доступные для поиска DNS-записи.
Claroc получила список приложений стандартными методами обнаружения субдоменов и для каждого один раз загружала первую страницу без входа в учетную запись. К теме рисков, связанных с ИИ-инструментами, относится материал TTL.
Тесты доступа и авторизации
Чтобы оценить защитные механизмы самого конструктора, исследователи создали два тестовых приложения с вымышленными данными. Оба были опубликованы с заранее выбранной настройкой «Любой, у кого есть ссылка».
Первое приложение представляло собой список контактов с базой данных, но без требования входа. Из приватного окна браузера исследователи, не авторизуясь, добавили новую строку. Следующий посетитель увидел внесенное изменение.
Во втором случае был создан список клиентов для отдела продаж из четырех человек. Grok самостоятельно добавил кнопки «Продолжить с Google» и «Продолжить с X». Но сгенерированный системой код включал в команду каждого вошедшего пользователя и не проверял, относится ли он к этой команде. Поэтому проверка фактически всегда завершалась успешно.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Учетная запись Google, не принадлежавшая владельцу приложения, смогла получить доступ, просмотреть всех клиентов, изменить одну запись и удалить другую. Эксперименты проводились только на приложениях самих исследователей: они не проверяли, можно ли аналогичным образом менять найденные публичные приложения.
Если у организации нет внутренних ресурсов для инвентаризации таких приложений и проверки доступа со стороны внешнего пользователя, эти задачи могут быть включены в услуги ИТБ по информационной безопасности. В данном случае предметом проверки должны быть не только опубликованные страницы, но и фактическая авторизация к данным, API и операциям изменения записей.
Для сравнения авторы исследования протестировали конструктор приложений ChatGPT, который также выделяет каждому приложению отдельный поддомен. Там опубликованное тестовое приложение по умолчанию оставалось в режиме «Только я», пока настройка не была изменена вручную. По словам исследователей, найденный в пассивном DNS адрес такого приложения вел бы к ресурсу, доступному только его владельцу.
Реакция SpaceXSI и случай с Muse
В воскресенье исследователи направили SpaceXSI сообщение через контакт из файла security.txt, приложив сведения о двух приложениях сотрудников. Информацию об остальных 22 приложениях они передали в понедельник.
К моменту публикации отчета компания не ответила непосредственно на сообщение исследователей, но ответила на вопросы журналиста о результатах работы. В изложении Claroc, компания заявила, что приложения Grok остаются приватными, пока создатель не поделится ими. Публикация проходит в несколько этапов: пользователь выбирает между режимами «Только вы» и «Любой, у кого есть ссылка», после чего видит юридическое предупреждение. Для учетных записей сотрудников режимом по умолчанию указан «Только вы».
Вместе с тем 24 приложения сотрудников SpaceXSI и X, обнаруженные исследователями, были открыты для всех. В отчете Claroc предложила сделать «Только вы» настройкой по умолчанию и добавить ограничение доступа по корпоративному почтовому домену. В ответе компании, по утверждению исследователей, не говорилось о намерении связаться с владельцами остальных открытых приложений.
Это не первый подобный случай с ИИ-конструкторами. 18 октября те же исследователи сообщили, что опубликованные через ИИ-агент Meta Muse страницы можно обнаружить через пассивный DNS. Meta отключила возможность делиться объектами, а 22 октября объявила об исправлении, после которого опубликованным объектам начали назначать новые адреса.
Что проверить в организации
Для российских организаций эта история не подтверждает отдельную кампанию против компаний из России или СНГ. Но она показывает риск неконтролируемого использования ИИ-конструкторов, когда сотрудник переносит в созданное приложение рабочие данные и публикует его с недостаточными ограничениями доступа.
В первую очередь стоит выяснить, какие ИИ-конструкторы используют сотрудники. Помимо Grok, в исследовании упомянуты Lovable, Replit, v0, Bolt, Base44 и Google AI Studio: такими сервисами можно пользоваться без корпоративной учетной записи и без настройки со стороны ИТ.
При наличии доступа к пассивному DNS имеет смысл искать домены соответствующих платформ и открывать найденные результаты в приватном режиме браузера. Для приложений Grok с внутренними данными необходимо проверить, что выбран режим «Приглашенные пользователи» либо «Только вы», а внешний посетитель получает страницу с ошибкой.
Отдельно следует попытаться войти с учетной записью, не принадлежащей организации. Если вход проходит, в приложении нужен список разрешенных пользователей. Также стоит проверить загружаемые приложением скрипты на наличие имен, адресов электронной почты и паролей, а опубликованные приложения без определенного владельца отключить.
В тестах Claroc режим «Только вы» возвращал постороннему пользователю ошибку 401 как при обращении к странице, так и при запросе данных. Отключение публикации, по наблюдениям исследователей, снимало приложение с сетевого доступа в течение нескольких секунд.
Практический вывод: публикацию приложений, созданных через ИИ, следует учитывать как отдельный канал раскрытия данных. Одной непредсказуемости URL недостаточно — доступ должен быть ограничен настройками платформы и проверен от имени внешнего пользователя.