Κενό ασφαλείας στο Grok Build της SpaceXSI εκθέτει χιλιάδες εμπιστευτικά δεδομένα και επιχειρηματικά μυστικά

Σοβαρό πλήγμα στην αξιοπιστία των εργαλείων τεχνητής νοημοσύνης επιφέρει νέα έρευνα στον τομέα της κυβερνοασφάλειας, η οποία αποκαλύπτει εκτεταμένη διαρροή ευαίσθητων δεδομένων μέσω του Grok Build. Η πλατφόρμα αυτόματης ανάπτυξης κώδικα (vibe-coding agent) της SpaceXSI —της εταιρείας που προέκυψε από τη συγχώνευση των SpaceX και xAI υπό τον Ίλον Μασκ— εξέθεσε χιλιάδες εμπιστευτικά αρχεία χρηστών. Μεταξύ των θυμάτων της διαρροής βρίσκεται παραδόξως και η ίδια η κατασκευάστρια εταιρεία, της οποίας τα εσωτερικά επιχειρησιακά πλάνα έγιναν προσβάσιμα στον καθένα.

Το αρχιτεκτονικό σφάλμα στους συνδέσμους και το passive DNS

Σύμφωνα με τα ευρήματα της εταιρείας κυβερνοασφάλειας Claroc, το πρόβλημα εντοπίζεται στον τρόπο με τον οποίο το Grok Build διαμοιράζει εφαρμογές μέσω συνδέσμων (links). Η υπηρεσία σχεδιάστηκε με βάση την αρχή του capability-based access control, όπου η ίδια η κατοχή ενός τυχαία παραγόμενου συνδέσμου λειτουργεί ως άδεια πρόσβασης. Πλατφόρμες όπως το Google Docs χρησιμοποιούν παρόμοια λογική, προσθέτοντας τυχαίους χαρακτήρες στο τέλος της διαδρομής του URL, καθιστώντας τους συνδέσμους πρακτικά αδύνατο να μαντευτούν.

Ωστόσο, οι προγραμματιστές του Grok Build υπέπεσαν σε ένα κρίσιμο αρχιτεκτονικό λάθος: τοποθέτησαν τις τυχαίες λέξεις ως υποτομείς (subdomains) στα αριστερά του βασικού domain (π.χ. cinder-crane-sand-frost.grok.me). Αυτή η επιλογή καθιστά τα URL ανιχνεύσιμα μέσω υπηρεσιών passive DNS, οι οποίες καταγράφουν δημόσια κάθε νέα καταχώριση DNS παγκοσμίως. Μέσω αυτής της μεθόδου, η Claroc εντόπισε 43.601 ενεργούς συνδέσμους grok.me. Σχεδόν το 95% αυτών —περισσότερες από 35.000 εφαρμογές— ήταν πλήρως προσβάσιμες χωρίς καμία απολύτως απαίτηση αυθεντικοποίησης ή κωδικού πρόσβασης.

Εσωτερικά έγγραφα της SpaceXSI και διαρροές σε εταιρείες του Fortune 500

Η εξέταση των εκτεθειμένων εφαρμογών αποκάλυψε ένα ευρύ φάσμα εμπιστευτικών πληροφοριών. Σε αυτές περιλαμβάνονταν στρατηγικά επιχειρηματικά σχέδια, προτάσεις διαφημιστικών εκστρατειών, ιατρικά αποτελέσματα, λίστες ελέγχου πολυτελούς γραμμής κρουαζιέρας, καθώς και προσωπικά στοιχεία υπαλλήλων από εταιρείες της λίστας Fortune 500 και αναδόχους του αμυντικού τομέα.

Ειρωνεία προκαλεί το γεγονός ότι η Claroc εντόπισε τουλάχιστον 24 εφαρμογές που είχαν δημιουργηθεί από την ίδια τη SpaceXSI. Ανάμεσα στα αρχεία που διέρρευσαν περιλαμβανόταν ένα απόρρητο πλάνο ένταξης νέου στελέχους πωλήσεων, χάρτης κατανομής 594 εταιρικών λογαριασμών, καθώς και εσωτερικές διευθύνσεις συστημάτων της ομάδας πωλήσεων.

Καθυστερημένη αντίδραση και ευρύτεροι κίνδυνοι

Όπως δήλωσε ο συνιδρυτής και CTO της Claroc, Ασάφ Απρόζπερ, η SpaceXSI αρχικά δεν ανταποκρίθηκε στις ιδιωτικές ειδοποιήσεις ασφαλείας, αναγκάζοντας τους ερευνητές να απευθυνθούν δημόσια μέσω του X στον Ίλον Μασκ και στον υπεύθυνο του Grok, Ματ Πάλμερ. Η εταιρεία απέσυρε τις 24 δικές της εφαρμογές μόνο μετά από δημοσιογραφικές ερωτήσεις, ενώ χιλιάδες πρότζεκτ τρίτων παραμένουν εκτεθειμένα.

Το περιστατικό υπογραμμίζει τους κινδύνους που συνοδεύουν τη ραγδαία υιοθέτηση των εργαλείων τεχνητής νοημοσύνης. Αντίστοιχο πρόβλημα αντιμετώπισε πρόσφατα και η Meta με τον agent Muse, αποδεικνύοντας ότι η ταχύτητα υλοποίησης συχνά παρακάμπτει θεμελιώδεις κανόνες κυβερνοασφάλειας, αφήνοντας κρίσιμα εταιρικά δεδομένα εκτεθειμένα στο δημόσιο διαδίκτυο.