MADRID 12 nov. (Portaltic/EP) -
Pesquisadores de segurança cibernética identificaram mais de 35.000 aplicativos criados com o Grok Build, aos quais qualquer pessoa pode acessar, expondo seus dados privados, devido a uma falha no design dos links gerados para compartilhar os aplicativos.
O Grok Build é o agente da SpaceXSI que permite criar aplicativos simplesmente descrevendo-os por voz ou texto. Esses aplicativos podem ser compartilhados por meio de um link para que outras pessoas tenham acesso, mas um erro de design permitiu que qualquer pessoa encontrasse milhares desses links e, consequentemente, acessasse todos os dados do aplicativo. Isso inclui informações confidenciais de empresas, inclusive da própria SpaceXSI.
Isso foi divulgado pela empresa de segurança cibernética Claroc em um relatório publicado pela Ars Technica, no qual se identifica que, ao gerar links específicos para os aplicativos criados, o Grok utiliza palavras aleatórias para que não seja possível adivinhá-los. Dessa forma, somente quem conhece a URL exata pode acessar os dados armazenados no aplicativo.
No entanto, a falha de design desses links se deve ao fato de as palavras aleatórias serem colocadas à esquerda do domínio, neste caso, ‘grok.me’. Portanto, os serviços de DNS passivo — o banco de dados público que registra cada novo endereço consultado — podem listar esses links, fazendo com que qualquer usuário possa encontrá-los e acessá-los.
Por exemplo, no caso de outros serviços como o Google, ao gerar links, a parte aleatória é colocada após o domínio, o que impede que eles apareçam nesse tipo de registro.
MAIS DE 35.000 LINKS PÚBLICOS
Como resultado desse modelo de criação de links, pesquisadores de segurança cibernética identificaram 43.601 links terminados com o domínio 'grok.me' em pesquisas passivas de DNS e, desses, mais de 35.000 eram públicos. Além disso, até 24 aplicativos pertenciam à própria empresa SpaceXSI.
Portanto, basta abrir qualquer um desses links para visualizar o aplicativo e acessar os dados privados. Especificamente, entre os aplicativos expostos estavam o mapa da área de vendas da SpaceXSI, uma proposta publicitária da X dirigida a uma agência federal dos Estados Unidos marcada como confidencial, os resultados laboratoriais de um paciente da UTI, a lista de funcionários de um grupo hospitalar e uma planilha de controle de ponto que divulga as senhas de seus funcionários, segundo o relatório.
Por sua vez, a Grok se pronunciou sobre o assunto com uma publicação na rede social X, onde afirmou que o artigo publicado “está incorreto”, pois “se refere ao recurso de criação de aplicativos no ‘grok.com’, e não ao Grok Build”.
Além disso, esclareceu que os aplicativos “são privados até que seu criador opte por publicá-los” e que essa ação envolve um processo. Para isso, lembrou que é preciso clicar em “publicar”, revisar as configurações no momento do compartilhamento e confirmar novamente que deseja publicar. Em seguida, aparece uma notificação de aviso que os usuários devem aprovar novamente.
No entanto, após a publicação do relatório mencionado, a SpaceXSI retirou os 24 aplicativos próprios com links públicos.
Vale ressaltar que não é a primeira vez que o Grok Build se vê envolvido em problemas de segurança, já que, em julho deste ano, o pesquisador Cereblab compartilhou os resultados de uma investigação que concluía que essa ferramenta vinha enviando repositórios completos dos usuários para o Google Cloud.
Como resultado, a SpaceXSI (na época, SpaceXAI) desativou a capacidade do Grok Build de carregar os bancos de dados dos usuários na nuvem.
Esta notícia foi traduzida por um tradutor automático