تقول شركة الأمن Claroc إنها عثرت على 35,578 تطبيقًا أنشأها Grok، وكان بإمكان أي شخص فتحها من دون تسجيل الدخول. وتمثل هذه التطبيقات 94.7 بالمئة من أصل 37,571 تطبيقًا فحصتها الشركة وظلت متاحة عبر الإنترنت. واحتوى بعضها على معلومات مرضى وكلمات مرور محفوظة بنص واضح ووثائق أعمال سرية، بينها مواد تخص SpaceXSI، الشركة المطورة لـGrok.
يتيح وضع Build في Grok للمستخدمين وصف تطبيق في محادثة، ثم يتولى المساعد كتابة شيفرته. ويصبح التطبيق متاحًا للعامة عندما ينشره منشئه على grok.me. وفي الحساب المدفوع الذي استخدمته Claroc، كان خيار «أي شخص لديه الرابط» محددًا مسبقًا في نافذة النشر. وتقول الشركة إن أسماء التطبيقات أمكن العثور عليها أيضًا عبر قواعد بيانات DNS سلبية قابلة للبحث، تسجل أسماء النطاقات بعد زيارتها.
ما الذي كُشف؟
تقدّر Claroc أن ما بين 650 و800 تطبيق احتوى على بيانات خاصة. ومن الأمثلة التي تأكدت منها إحاطة لوحدة العناية المركزة تتضمن نتائج فحوصات مريض، وقائمة بأكثر من 3,500 موظف لدى مجموعة مستشفيات، وجدول مناوبات لإدارة إطفاء. واحتوى الكود المصدري لأحد تطبيقات جداول الدوام على 18 حسابًا بكلمات مرور مخزنة بنص واضح. وتقول Claroc إن نحو تطبيق واحد من كل عشرة تطبيقات متاحة احتوى على معلومات حساسة أو داخلية أو شخصية، فيما كانت نحو 2 بالمئة منها شديدة الخطورة.
كما عثرت الشركة على 24 تطبيقًا متاحًا أنشأها موظفون في SpaceXSI وX. وشملت هذه التطبيقات خطة لتهيئة الموظفين الجدد تتضمن عناوين أنظمة داخلية وقنوات محادثة، وخريطة مبيعات تسرد 594 حسابًا استراتيجيًا، ومقترحات إعلانية سرية. وتقول Claroc إنها عثرت على تطبيقات متأثرة لدى 30 مؤسسة أخرى، بينها ست شركات من قائمة Fortune 500، لكنها لم تسمّها.
وواجه تطبيقان اختباريان أنشأتهما Claroc مشكلات تتجاوز إتاحتهما للعامة. فقد احتوى أحدهما على قاعدة بيانات تتيح للزوار المجهولين إضافة جهات اتصال. وفي الآخر، أضافت الشيفرة التي أنشأها Grok أي زائر يسجل الدخول إلى الفريق قبل التحقق من انتمائه إليه، ما أتاح لحساب خارجي قراءة السجلات وتعديلها وحذفها. وتقول Claroc إنها اختبرت الكتابة والحذف في تطبيقاتها فقط.
ما الخطوة التالية؟
قالت SpaceXSI إن التطبيقات تظل خاصة إلى أن يشاركها منشئوها، وإن النشر يتطلب عدة خطوات، وإن الإعداد الافتراضي لحسابات الموظفين هو «أنت فقط». لكن Claroc تقول إن ذلك لا يمنع كشف التطبيقات إذا كانت شاشة النشر النهائية لا تزال تحدد مسبقًا إتاحتها لأي شخص لديه الرابط. وتوصي الشركة بجعل الوصول الخاص هو الإعداد الافتراضي، وتنبيه المستخدمين عندما يحتوي التطبيق على قاعدة بيانات من دون تسجيل دخول.
أوقفت SpaceXSI إتاحة تطبيقات موظفيها الـ24، لكن Claroc تقول إن تطبيقات أخرى مكشوفة لا تزال متاحة. ولأن الشركة لم تتعهد بالتواصل مع أصحاب تلك التطبيقات، تقول Claroc إنها تخطرهم مباشرة. وتبيع Claroc منتجات أمنية للتطبيقات المبنية بالذكاء الاصطناعي، وهو أمر يجدر أخذه في الحسبان عند تقييم نتائجها. وتأتي هذه الحادثة بعد مشكلات سابقة تتعلق بخصوصية Grok، وتشبه مشكلات أبلغت عنها Claroc في ميزات المشاركة لدى Meta وAnthropic.
لماذا يهم
قد يكشف من ينشر تطبيقًا أنشأه Grok محتوياته حتى إن كان يتوقع تقييد الوصول إليها، وقد تضم بعض التطبيقات بيانات شخصية أو تجارية. أزالت SpaceXSI تطبيقات موظفيها، لكن Claroc تقول إن تطبيقات أخرى مكشوفة لا تزال متاحة؛ وليس من الواضح ما إذا كان أصحابها قد أُبلغوا أو ما إذا كانت إعدادات الوصول ستتغير.
