IT之家 11月11日の報道によると、ネットワークセキュリティ企業Clarocは、SpaceXSIのAIプログラミングツールGrok Buildにセキュリティ漏洞があることを発見し、数千人のユーザーの機密データが漏洩したとのことで、SpaceXSI自身の内部資料も被害を受けた。
クラロックは外信メディアのArs Technicaに、Grokで生成されたアプリケーション共有リンクが一部のDNSサービスを通じて公開検索可能になると発表し、ある病院グループ、消防部門、およびSpaceXSIの従業員情報が漏洩したと述べている。
研究者はブログで次のように書いた：「私たちは驚きました。」Grokを開発した会社は、リンクを手に入れる人が誰でも自身の内部情報を見ることができるようにしていました。”
Clarocは、シェアリンクを受け取っていない場合でも、外部の人が自らそのページを見つけてアクセスできるため、「GhostShares」と呼んでいます。
SpaceXSIの漏洩された内部資料には、新入社員の採用計画、594件の重要顧客の販売地域分布図、8件のXプラットフォームの広告提案、4件の依然として使用されている広告主アカウント管理ダッシュボード、そして2部のXブランドのセキュリティ操作マニュアルが含まれている。その中で1つのアプリケーションだけがパスワードが設定されていました。
また、6社の「フォーチュン・ワールド500」に選ばれた企業と、従業員数が1000人を超える26社の企業が影響を受けました。Clarocによると、約2％のアプリケーションに高リスクまたは深刻なレベルに相当する機密情報が含まれていると推定されています。
脆弱性は、Grok Buildがリンクを生成する方法に起因しています。Grokは4つのランダムな単語を使用してリンク識別子を生成し、ランダム性は最大38ビットにも達しますが、Google Geminiとは異なり、Grokはこれらの識別子をドメインの後ろのURLパスではなく、ドメインの前に配置するという仕組みです。その結果、受動的なDNSサービスがこれらのリンクを収集し、公開可能なデータベースに記録することができます。
クラロックが発見した問題をSpaceXSIと影響を受けた企業に報告し、一部の企業は情報がさらに漏洩するのを防ぐために迅速な対策を講じた。しかし、SpaceXSIはクラロックがXプラットフォーム上でマスクと別の会社幹部の名前を挙げるまで、反応しなかった。
その後、SpaceXSIは内部情報が公開されている24の自社アプリを廃止した。他のGrokユーザーや機関が依然として公開可能なアプリについては、SpaceXSIは同様の措置を取っていない。