نشت اطلاعات Grok Build، دستیار کدنویسی شرکت SpaceXSI، باعث افشای داده‌های محرمانه هزاران کاربر شده است. پژوهش تازه شرکت امنیتی Claroc نشان می‌دهد که بیش از ۳۵ هزار اپلیکیشن ساخته‌شده با این پلتفرم به‌صورت عمومی در دسترس بوده‌اند و هر کسی با داشتن لینک می‌توانسته به اطلاعات ذخیره‌شده در آن‌ها دسترسی پیدا کند. این نشت اطلاعات Grok Build حتی داده‌های داخلی خود SpaceXSI را نیز در بر می‌گیرد.
نشت اطلاعات Grok Build چگونه رخ داد؟
Grok Build ابزاری برای ساخت سریع اپلیکیشن با کمک هوش مصنوعی است. کاربران می‌توانند با وارد کردن متن یا گفتار، در چند دقیقه یک اپلیکیشن کاربردی بسازند و آن را از طریق لینک با دیگران به اشتراک بگذارند. طراحان این پلتفرم برای امنیت بیشتر، آدرس لینک‌ها را تصادفی کرده‌اند تا فقط افرادی که آدرس دقیق را می‌دانند به داده‌ها دسترسی داشته باشند.
اما یک تصمیم طراحی در پیاده‌سازی این مکانیسم، هدف امنیتی را کاملاً بی‌اثر کرده است. در لینک‌های Grok Build، بخش تصادفی در سمت چپ دامنه قرار دارد، نه در مسیر پس از دامنه. همین موضوع باعث می‌شود که لینک‌ها با استفاده از سرویس‌های DNS غیرفعال (Passive DNS) قابل شمارش باشند. این سرویس‌ها درخواست‌های DNS را ثبت می‌کنند و وقتی آدرسی برای اولین بار جستجو می‌شود، در پایگاه داده عمومی قابل جستجو ذخیره می‌شود.
💡 خرید اکانت چت جی پی تی — ChatGPT و Claude بدون فیلترشکن و با پرداخت تومانی
داده‌های افشاشده؛ از SpaceXSI تا تسلا و شرکت‌های دیگر
Claroc در بررسی خود دریافت که داده‌های افشاشده شامل طرح‌های تجاری داخلی، پیشنهادهای تبلیغاتی، نتایج معاینات پزشکی، چک‌لیست‌های آشپزخانه یک خط کشتی‌های تفریحی مشهور و نام و شماره کارمندان است. بخشی از این داده‌های حساس متعلق به ۲۴ اپلیکیشنی است که خود SpaceXSI ساخته بود.
از جمله اسناد افشاشده در اپلیکیشن‌های SpaceXSI می‌توان به برنامه آنبوردینگ محرمانه یک عضو جدید تیم فروش سازمانی، نقشه قلمرو فروش با ۵۹۴ حساب، آدرس‌های سیستم‌های داخلی ابزارهای تیم فروش و پیشنهادهای تبلیغاتی اشاره کرد.
Claroc نمونه‌ای از سازمان‌ها و داده‌های افشاشده را این‌گونه فهرست کرده است:
💡 خرید API هوش مصنوعی Claude و GPT — کلید API با شارژ تومانی و قیمت مناسب
- یک شرکت ساختمانی پرویی: داشبورد سلامت شغلی با ۳٬۷۸۴ معاینه پزشکی کارگران
- تسلا: کارت امتیاز مرکز خدمات با نام ۲۲ تکنسین و وضعیت بهره‌وری و پاداش آن‌ها
- یک پیمانکار مهندسی کشتی نیروی دریایی آمریکا: فهرست ۱۰۸ نفر در یک قرارداد پشتیبانی لجستیکی
- یک شرکت کشتی‌های تفریحی لوکس: چک‌لیست آشپزخانه با نام کامل و شماره کارمندی خدمه
- یک شرکت مراقبت بهداشتی: اپلیکیشن کارکنان بیمارستان با فهرست حدود ۳٬۵۶۵ کارمند
- یک شرکت خدمات IT آمریکایی: پیشنهاد محرمانه به یک مشتری خرده‌فروشی بزرگ همراه با لیست سخت‌افزار
- یک گروه هوافضا و دفاعی نروژی-فنلاندی: تابلوی بار و رویه بارگیری یک ساختمان مواد منفجره در آمریکا
- یک شرکت خانه‌سازی آمریکایی: لیست تماس فروش با حدود ۵۸۳ مشتری احتمالی و یادداشت‌های مالی
- یک شرکت هلدینگ مالزیایی: مانیتور پروژه برای ۳۷ پروژه توسعه با ارقام سود و فروش
- یک شرکت حمل خودرو: میز پیشنهاد قیمت با حدود ۴٬۰۰۰ سفارش حمل خودرو
- یک شرکت مرکز داده و میزبانی آمریکایی: پیشنهاد محرمانه ترانزیت IP به یک اپراتور اروپایی
واکنش‌ها و اقدامات SpaceXSI
Claroc روز یکشنبه این نشت اطلاعات را به SpaceXSI اطلاع داد. وقتی پاسخی دریافت نکرد، یکی از مقامات Claroc در شبکه اجتماعی X، ایلان ماسک و مت پالمر، مدیر Grok، را درباره این تهدید تگ کرد. در زمان انتشار این گزارش، تقریباً تمام داده‌ها همچنان در دسترس بودند، به جز محتوای ۲۴ اپلیکیشن SpaceXSI که همه آن‌ها تا دوشنبه شب اطلاعات را افشا می‌کردند.
SpaceXSI چند ساعت پس از ارسال ایمیل Ars با پرسش‌های مربوط به این مقاله، حذف لینک‌ها را آغاز کرد. در زمان انتشار این گزارش، لینک تمام ۲۴ اپلیکیشن خطای «app not found» را نشان می‌داد.
Asaf Aprozper، هم‌بنیان‌گذار و مدیر فناوری Claroc، گفت که در حال اطلاع‌رسانی به شرکت‌های آسیب‌دیده است. پس از گفتگو با مدیر امنیت اطلاعات شرکت کشتی‌های تفریحی لوکس، آن شرکت «کل تیم امنیتی خود را به محض اطلاع از یافته‌ها فراخواند و در حال مهار افشای Grok است.»
💡 لیست مدل‌ها و قیمت API هوش مصنوعی — همه مدل‌های OpenAI، Anthropic و Google در یک‌جا
«ما شوکه شدیم. شرکتی که Grok را می‌سازد، مواد داخلی خودش را برای هر کسی که لینک را داشت باز گذاشته بود و ما هرگز آن لینک را دریافت نکرده بودیم. اگر تیم فروش ابزاری برای این کار خریده بود، پشت ورود شرکت قرار می‌گرفت و فقط در دسترس تیم بود. اما ساخته‌شده با هوش مصنوعی، برای هر کسی با لینک باز شد.» — Claroc
چرا این خبر مهم است؟
این حادثه نشان می‌دهد که حتی شرکت‌های بزرگ فناوری نیز در پیاده‌سازی اصول امنیتی ساده دچار اشتباه می‌شوند. برای کاربران ایرانی و توسعه‌دهندگانی که از ابزارهای هوش مصنوعی برای ساخت اپلیکیشن استفاده می‌کنند، این خبر هشداری جدی است: لینک‌های اشتراک‌گذاری می‌توانند به‌راحتی توسط سرویس‌های DNS شناسایی شوند و داده‌های حساس را افشا کنند.
نکته مهم دیگر این است که این مشکل فقط به Grok Build محدود نمی‌شود. به گفته Aprozper، پلتفرم‌های دیگری مانند Lovable، Bolt و Replit نیز به هر اپلیکیشن آدرس وب اختصاص می‌دهند و بنابراین همان رکوردهای DNS آن‌ها را نیز افشا می‌کنند. با این حال، Grok در میان آن‌ها بیشترین داده‌های حساس شرکتی را داشته است.
در مقابل، پلتفرم‌هایی مانند Claude (بخش artifacts عمومی)، ChatGPT (گفتگوهای اشتراکی) و Gemini از روش صحیح استفاده می‌کنند و بخش تصادفی را در مسیر پس از دامنه قرار می‌دهند، بنابراین DNS هرگز آن را نمی‌بیند. این تفاوت نشان می‌دهد که رعایت یک استاندارد ساده امنیتی تا چه حد می‌تواند از فاجعه جلوگیری کند.
💡 خرید اکانت چت جی پی تی — ChatGPT و Claude بدون فیلترشکن و با پرداخت تومانی
برای توسعه‌دهندگان ایرانی که ممکن است از این ابزارها استفاده کنند، توصیه می‌شود در صورت استفاده از لینک‌های اشتراکی Grok Build، گزینه «invite others» را انتخاب کنند مگر اینکه قصد داشته باشند اپلیکیشن را به‌طور گسترده در دسترس قرار دهند. همچنین باید از قرار دادن اطلاعات حساس در این اپلیکیشن‌ها خودداری کرد.
جمع‌بندی
نشت اطلاعات Grok Build نشان داد که یک نقص طراحی در نحوه تولید لینک‌های اشتراکی می‌تواند به افشای گسترده داده‌های محرمانه منجر شود. SpaceXSI پس از پیگیری رسانه‌ها لینک‌های ۲۴ اپلیکیشن خود را حذف کرد، اما هزاران اپلیکیشن دیگر همچنان در معرض خطر هستند. این رویداد بار دیگر اهمیت امنیت در ابزارهای هوش مصنوعی و لزوم توجه به جزئیات فنی را یادآوری می‌کند.
نظرات
هنوز نظری ثبت نشده؛ اولین نفر باشید.