Grok uygulamalarındaki açık, sahibinin şirket içi belgelerini de ortaya çıkardı

Grok’un Build özelliğiyle hazırlanan uygulamalar, kullanıcıların düşündüğünden daha geniş bir kitleye açık kalabiliyor. Güvenlik şirketi Claroc, 10 Kasım’da yayımladığı araştırmada kontrol ettiği 37.571 canlı uygulamanın 35.578’inin oturum açmadan görüntülenebildiğini bildirdi. Araştırmacıların tahmini, bunların 650 ila 800’ünde özel veri bulunduğu yönünde.

Açık uygulamaların tamamı gizli bilgi içermiyor; çoğu oyun, hesaplayıcı veya tanıtım sayfası. Doğrulanan örnekler arasında sağlık kayıtları, çalışan listeleri ve şirket içi belgeler bulunuyor. Grok’un sahibi SpaceXSI ile X çalışanlarının oluşturduğu 24 uygulama da raporda yer aldı. Bunlar arasında şirketin satış ekibine ait işe başlangıç planı, müşteri hesaplarını gösteren bölge haritası ve reklam teklifleri bulunuyor.

Grok Build, daha önce Unity’nin resmi eklenti desteğiyle oyun geliştirme araçları arasındaki yerini genişletmişti. Bu araştırma ise yayımlanan uygulamalardaki erişim ayarlarına odaklanıyor.

Paylaşım bağlantısı, erişim kontrolü yerine geçmiyor

Claroc, kendi ücretli hesabında yayımlama ekranının bağlantıya sahip herkese erişim seçeneğini önceden işaretlediğini söylüyor. Araştırmada uygulama adreslerinin DNS kayıtlarından bulunabildiği anlatılıyor. Bu nedenle bağlantının doğrudan gönderilmemesi, uygulamanın yabancılar tarafından bulunamayacağı anlamına gelmiyor.

Ekip, kendi oluşturduğu bir test uygulamasında Google ile giriş yapabilen yabancı bir hesabın kayıtlara erişip değişiklik yapabildiğini de gösterdi. Bu test başka kullanıcıların uygulamalarında yapılmadı. Araştırmacılar, erişim ayarını yalnız kullanıcıya veya davet edilen kişilere sınırlandırmayı öneriyor.

Şirket ile araştırmacıların ayrıştığı nokta

Ars Technica’ya yanıt veren şirket temsilcisi, uygulamaların oluşturulduklarında özel olduğunu ve kullanıcı paylaşmayı seçmeden halka açılmadığını belirtti. Şirket, çalışan hesaplarında varsayılan seçeneğin yalnız hesap sahibine erişim olduğunu da savunuyor. Claroc da yayımla düğmesine basılmadan uygulamanın açılmadığını kabul ediyor; itirazı, paylaşım aşamasında herkese erişim seçeneğinin varsayılan olması.

Ars Technica, sorularını ilettikten sonra şirket çalışanlarına ait 24 uygulamanın kaldırıldığını doğruladı. Haber yayımlandığında diğer kullanıcılara ait açık içeriklerin büyük bölümü erişilebilir durumdaydı. Claroc, etkilenen kuruluşları bilgilendirmeye başladığını açıkladı.