AI プログラミングツール Grok Build の脆弱性により SpaceXSI の機密データが流出
2026年11月14日 · 読了 1 分
他の言語でも公開 Português (Brasil), 한국어, ไทย, العربية, Русский, Español, Italiano, Nederlands, Svenska, Norsk, Polski, Türkçe, עברית
ネットワークセキュリティ企業 Claroc は、SpaceXSI 傘下の AI プログラミングツール Grok Build に脆弱性があり、数千人のユーザーの機密データが流出したと発表した。Grok が生成したアプリケーション共有リンクが特定の DNS サービスを通じて公開検索可能になっていたという。
Claroc の研究者らは、医療グループ、消防部門、および SpaceXSI の従業員情報が流出したと述べた。同社はこのような公開ページを「GhostShares」と呼んでいる。共有リンクを受け取っていない外部者でも、これらのページを発見してアクセスできるためだ。
SpaceXSI から流出した内部資料には、新入社員のオンボーディング計画、594 の主要顧客を含む営業地域マップ、8 件の X プラットフォーム広告提案、4 つの使用中の広告クライアント管理ダッシュボード、および 2 つの X ブランド安全操作マニュアルが含まれていた。これらのうち 1 つのアプリケーションのみがパスワード保護されていた。
フォーチュン 500 企業 6 社と従業員 1000 人以上の企業 26 社も影響を受けた。Claroc は、約 2% のアプリケーションが高リスクまたは重大レベルの機密情報を含んでいると推定している。
脆弱性は Grok Build が共有リンクを生成する方法に由来する。Grok は 4 つのランダムな単語を使用してリンク識別子を生成し、最大 38 ビットのランダム性を持つが、Google Gemini とは異なり、これらの識別子をドメイン名の後ではなく前に配置している。その結果、パッシブ DNS サービスがこれらのリンクを収集し、公開検索可能なデータベースに記録できるようになった。
Claroc は SpaceXSI と影響を受けた企業に問題を報告した。SpaceXSI は X プラットフォーム上で名指しされるまで対応しなかったが、その後、内部資料を公開していた 24 個の自社アプリケーションを削除した。