IT之家 – Selon un rapport du 11 novembre, la société de sécurité informatique Claroc a découvert une faille de sécurité dans l’outil de programmation AI Grok Build, appartenant à SpaceXSI. Cela a entraîné la fuite de données sensibles de milliers d’utilisateurs, y compris des informations internes de SpaceXSI elle-même.
Claroc a révélé à Ars Technica que les liens partagés par les applications générées par Grokpouvaient être consultés publiquement via certains services DNS, entraînant la fuite des informations des employés d’un groupe hospitalier, d’une unité de pompiers et de SpaceXSI.
Les chercheurs ont écrit sur le blog : « Nous sommes choqués. La société qui a développé Grok permet à quiconque possède le lien de consulter ses données internes. »
Claroc appelle ces pages « GhostShares », car même sans recevoir un lien de partage, les extérieurs peuvent se trouver et accéder à ces pages par eux-mêmes.
Données internes divulguées par SpaceXSI, incluant le plan d’intégration des nouveaux employés, la carte de répartition des zones de vente concernant 594 clients clés, 8 propositions publicitaires pour la plateforme X, 4 panneaux de gestion des comptes clients publicitaires encore en usage, et deux manuels d’opération sur la sécurité de la marque X. Parmi celles-ci, seule une application dispose de un mot de passe.
De plus, 6 entreprises figurant sur la liste Fortune Global 500 et 26 entreprises comptant plus de 1 000 employés ont été affectées. Claroc estime que environ 2 % des applications contiennent des informations sensiblesau point de pouvoir être classées comme de niveau haut ou grave.
La faille provient de la manière dont Grok Build génère les liens partagés. Bien que Grok utilise 4 mots aléatoires pour créer des identifiants de lien, avec une aléa maximale atteignant 38 bits, contrairement à Google Gemini, Grok place ces identifiants avant le nom de domaine, et non dans le chemin du URL après le nom de domaine. Par conséquent, le service DNS passif peut collecter ces liens et les enregistrer dans une base de données accessible publiquement.
Claroc a informé SpaceXSI et les entreprises touchées des problèmes identifiés, et certaines entreprises ont rapidement pris des mesures pour empêcher la diffusion ultérieure des informations. Cependant, SpaceXSI n’a répondu qu’après que Claroc a mentionné Musk et un autre dirigeant de l’entreprise sur la plateforme X.
Ensuite, SpaceXSI a retiré 24 applications qui divulguaient des informations internes. Pour les autres applications accessibles publiquement pour les utilisateurs et institutions Grok, SpaceXSI n’a pas pris de mesures similaires.