AI-kodverktyget Grok Build gjorde som standard appar åtkomliga för alla med länken, enligt tester som Ars Technica beskriver. Säkerhetsforskaren Aprozper uppger att en passiv DNS-sökning gav 43,601 länkar som slutade på grok.me. Hen fann att fler än 35,000 öppnade appar och deras lagrade data utan att någon inbjudan krävdes.
Ars beskriver de offentliga länkarna som nästan 95 procent av det totala antalet, men siffrorna i artikeln går inte ihop: 35,000 av 43,601 är ungefär 80 procent. Rapporten förklarar inte skillnaden. Det som exponerades omfattade känslig företagsinformation, en del av den tillhörde SpaceXSI, enligt Ars. Alla som hade en länk kunde öppna appen och se informationen den lagrade.
Företaget och forskaren är oense
En talesperson för Cursor, AI-kodtjänsten som nyligen förvärvades av SpaceXSI, sade till Ars att Grok Build-appar är privata som standard och bara blir offentliga om skaparna väljer att dela dem. Aprozpers tester visade motsatsen: standardinställningen var ”Alla med länken”, och användarna behövde byta till ”inbjudna användare” eller ”bara du” för att begränsa åtkomsten.
Talespersonen svarade inte på följdfrågor om huruvida SpaceXSI medvetet exponerade intern information, varför företaget tog bort data efter att Ars ställt frågor om den eller om kunder vars information också kan ha exponerats skulle underrättas. Redogörelsen säger inte hur många som tittade på eller laddade ner informationen.
Delningslänkar kan medföra liknande risker
Ars uppger att även appbyggare som Lovable, Bolt och Replit ger appar webbadresser, som kan exponeras via DNS-poster. Aprozper sade att det var i Grok som hen hittade mest känslig företagsdata; rapporten säger inte att de andra tjänsterna använder Groks standardinställning för delning.
Vissa andra AI-tjänster utformar delningslänkar på ett annat sätt. Claude artifacts, delade ChatGPT-konversationer och Gemini-länkar har sina slumpmässiga hemliga strängar i URL-sökvägen, vilket DNS inte avslöjar. Ars rekommenderar Grok Build-användare att välja ”bjud in andra”, om de inte avser att göra en app brett tillgänglig.
Varför det spelar roll
Den som använder Grok Build för att lagra arbetsinformation bör kontrollera delningsinställningen för varje app och välja ”inbjudna användare” eller ”bara du” om appen inte ska vara tillgänglig för en bredare krets. Ars rapporterar att känslig företagsinformation exponerades, men det framgår inte hur många som kom åt den eller om andra användares data också påverkades.
