شرکت امنیتی کلاراک می‌گوید ۳۵٬۵۷۸ اپ ساخته‌شده با Grok را پیدا کرده که هرکسی می‌توانست بدون ورود به حساب کاربری بازشان کند. این تعداد ۹۴٫۷ درصد از ۳۷٬۵۷۱ اپی بود که شرکت بررسی کرد و هنوز آنلاین بودند. برخی از این اپ‌ها حاوی اطلاعات بیماران، گذرواژه‌های متنی و اسناد محرمانه تجاری بودند؛ از جمله مطالبی از SpaceXSI، سازنده Grok.
حالت Build در Grok به کاربران امکان می‌دهد در گفت‌وگو، اپی را توصیف کنند و از دستیار بخواهند کد آن را بنویسد. وقتی سازنده اپ آن را در grok.me منتشر کند، اپ عمومی می‌شود. در حساب پولی‌ای که کلاراک استفاده کرد، گزینه «هرکسی که پیوند را دارد» از قبل در پنجره انتشار انتخاب شده بود. به گفته این شرکت، نام اپ‌ها را می‌شد در پایگاه‌های داده عمومی DNS غیرفعال هم جست‌وجو کرد؛ این پایگاه‌ها نام دامنه‌ها را پس از بازدید کاربران ثبت می‌کنند.
چه اطلاعاتی افشا شد؟
کلاراک برآورد می‌کند که ۶۵۰ تا ۸۰۰ اپ حاوی داده‌های خصوصی بوده‌اند. نمونه‌های تأییدشده شامل گزارشی از بخش مراقبت‌های ویژه با مقادیر آزمایش‌های یک بیمار، فهرست بیش از ۳٬۵۰۰ کارمند یک گروه بیمارستانی و برنامه شیفت‌های یک آتش‌نشانی بود. کد منبع یکی از اپ‌های ثبت ساعات کار، ۱۸ حساب کاربری با گذرواژه‌های ذخیره‌شده به‌صورت متن ساده داشت. کلاراک می‌گوید حدود یک‌دهم اپ‌های در دسترس حاوی اطلاعات حساس، داخلی یا شخصی بودند و حدود ۲ درصد مواردی به‌ویژه جدی به شمار می‌رفتند.
این شرکت همچنین ۲۴ اپ در دسترس را پیدا کرد که کارمندان SpaceXSI و X ساخته بودند. این اپ‌ها شامل برنامه‌ای برای ورود کارکنان به سازمان بود که نشانی سامانه‌های داخلی و کانال‌های گفت‌وگو را در بر داشت، نقشه فروش با فهرست ۵۹۴ مشتری راهبردی و پیشنهادهای محرمانه تبلیغاتی می‌شدند. کلاراک می‌گوید در ۳۰ سازمان دیگر، از جمله شش شرکت فهرست Fortune 500، اپ‌های آسیب‌دیده پیدا کرده، اما نام آن‌ها را اعلام نمی‌کند.
دو اپ آزمایشی خود کلاراک، علاوه بر عمومی‌بودن، مشکلات دیگری هم داشتند. یکی پایگاه داده‌ای داشت که به بازدیدکنندگان ناشناس اجازه می‌داد مخاطب اضافه کنند. در اپ دیگر، کدی که Grok تولید کرده بود، پیش از بررسی عضویت بازدیدکننده در تیم، هر کاربر واردشده‌ای را به تیم اضافه می‌کرد؛ در نتیجه یک حساب کاربری بیرونی می‌توانست سوابق را بخواند، ویرایش کند و حذف کند. کلاراک می‌گوید نوشتن و حذف اطلاعات را فقط در اپ‌های خودش آزمایش کرده است.
بعد چه می‌شود؟
SpaceXSI اعلام کرد اپ‌ها تا زمانی که سازندگانشان آن‌ها را به اشتراک نگذارند خصوصی می‌مانند، انتشارشان چند مرحله دارد و تنظیم پیش‌فرض حساب‌های کارمندان روی «فقط شما» است. کلاراک می‌گوید اگر در صفحه نهایی انتشار، دسترسی «هرکسی که پیوند را دارد» از قبل انتخاب شده باشد، این موارد مانع افشا نمی‌شود. این شرکت توصیه می‌کند دسترسی خصوصی به‌صورت پیش‌فرض انتخاب شود و اگر اپی پایگاه داده دارد اما ورود به آن لازم نیست، به کاربران هشدار داده شود.
SpaceXSI دسترسی به ۲۴ اپ کارمندانش را قطع کرده است، اما کلاراک می‌گوید اپ‌های افشاشده دیگری همچنان در دسترس‌اند. کلاراک می‌گوید چون شرکت متعهد نشده است با صاحبان آن‌ها تماس بگیرد، خودش مستقیماً به آن‌ها اطلاع می‌دهد. کلاراک محصولات امنیتی برای اپ‌های ساخته‌شده با هوش مصنوعی می‌فروشد؛ هنگام ارزیابی یافته‌هایش باید این نکته را در نظر داشت. این ماجرا پس از مشکلات حریم خصوصی قبلی Grok رخ داده و به مشکلاتی شباهت دارد که کلاراک درباره قابلیت‌های اشتراک‌گذاری در Meta و Anthropic گزارش کرده است.
چرا مهم است
افرادی که اپی را با Grok می‌سازند و منتشر می‌کنند، ممکن است محتوای آن را ناخواسته در معرض دید بگذارند؛ حتی اگر انتظار داشته باشند دسترسی محدود باشد. برخی اپ‌ها ممکن است داده‌های شخصی یا تجاری داشته باشند. SpaceXSI دسترسی به اپ‌های کارمندانش را قطع کرده، اما به گفته کلاراک، اپ‌های افشاشده دیگری همچنان در دسترس‌اند. مشخص نیست صاحبان آن‌ها مطلع شده‌اند یا تنظیمات دسترسی تغییر خواهد کرد.
