Bez přihlášení šlo otevřít 35 578 z 37 571 zveřejněných aplikací vytvořených v režimu Build asistenta Grok od společnosti xAI. Výzkumníci mezi nimi našli aplikace zaměstnanců SpaceX, xAI a X i data dalších organizací.
Bezpečnostní firma Claroc zjistila, že veřejně přístupných bylo 94,7 procenta prověřených aplikací. V režimu Build uživatel popíše požadovanou aplikaci v chatu a Grok vytvoří její programový kód. Aplikace zůstane soukromá, dokud uživatel nezvolí zveřejnění.
Problém vznikal při zveřejnění aplikace. U testovaného placeného účtu byla předem vybraná možnost, která umožňovala přístup každému, kdo získal odkaz. Adresy aplikací navíc nebylo obtížné najít. Každá aplikace dostala vlastní internetovou adresu, která se po první návštěvě objevila ve vyhledávatelných databázích.
Přibližně každá desátá aplikace, kterou výzkumníci prověřili podrobněji, obsahovala citlivé materiály, interní firemní data nebo osobní údaje. Podle odhadu Clarocu obsahovalo soukromá data 650 až 800 aplikací. Výzkumníci našli laboratorní hodnoty pacienta, seznam více než 3 500 zaměstnanců nemocniční skupiny a rozpis směn hasičů. Zdrojový kód docházkové aplikace obsahoval 18 účtů s hesly uloženými v čitelné podobě.
Veřejně přístupných bylo také 24 aplikací zaměstnanců SpaceX, xAI a X. Obsahovaly plán nástupu obchodníka, interní adresy, reklamní nabídky a přehled 594 strategických zákaznických účtů. Tyto aplikace byly následně staženy. Podle Clarocu však ostatní otevřené aplikace uživatelů a organizací zůstaly dostupné.
Claroc při vlastním testu odhalil také chybu v oprávněních. Testovací aplikace po přihlášení přes Google nebo X nejprve přidala každého návštěvníka do týmu a až potom ověřila jeho členství. Cizí účet proto mohl záznamy číst, upravovat i mazat.
U aplikací vytvořených pomocí AI nestačí chránit interní data odkazem sdíleným jen s vybranými lidmi. Před vložením zákaznických údajů, hesel nebo firemních dokumentů je potřeba ověřit, zda aplikace bez přihlášení nic nezobrazí a zda přihlášený účet dostane jen určená oprávnění.
Při plánování bezpečnostních aktualizací nestačí vysoké skóre zranitelnosti. Přednost má oprava systému, který je vystaven útoku a jehož napadení ohrozí přístupy, data nebo provoz.
Během 30 dní lze určit odpovědnost za kyberbezpečnost, prověřit účty, obnovu záloh i postup pro první hodinu incidentu.
Kdo drží obnovovací slova, může s bitcoinem nakládat, zatímco logo banky v aplikaci z něj bankovní vklad neudělá a pojištění vkladů se na něj nevztahuje.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
