Уязвимость в инструменте Grok Build привела к утечке данных SpaceXSI
14 ноября 2026 г. · 2 мин чтения
Также опубликовано на Português (Brasil), 日本語, 한국어, ไทย, العربية
Инструмент для программирования на базе искусственного интеллекта Grok Build, принадлежащий компании SpaceXSI, подвергся утечке конфиденциальных данных тысяч пользователей, включая внутреннюю информацию самой SpaceXSI.
Компания Claroc сообщила изданию Ars Technica, что ссылки для обмена приложениями, созданными с помощью Grok, могли быть найдены через определенные службы DNS. Это привело к раскрытию данных сотрудников SpaceXSI, а также информации из одного пожарного департамента и одной группы больниц. Исследователи назвали такие страницы призрачными общими ресурсами, так как посторонние лица могли находить и посещать их самостоятельно, даже не получая ссылку для обмена.
Внутренние данные SpaceXSI, которые стали доступны, включают планы адаптации новых сотрудников и карты распределения продаж по регионам, охватывающие 594 ключевых клиента. Также произошла утечка восьми предложений по рекламе на платформе X, четырех активных панелей управления аккаунтами рекламодателей и двух руководств по безопасности бренда X. Только одно приложение было защищено паролем.
Помимо этого, пострадали шесть компаний из списка Fortune 500 и 26 предприятий с численностью сотрудников более 1000 человек. По оценкам Claroc, примерно 2 процента приложений содержали конфиденциальную информацию, которую можно классифицировать как высокорискованную или критическую.
Проблема возникла из-за способа генерации ссылок в Grok Build. Хотя идентификаторы ссылок состоят из четырех случайных слов с энтропией до 38 бит, Grok размещает эти идентификаторы перед доменным именем, а не в пути URL после домена. В результате службы пассивного DNS смогли собрать эти ссылки и сохранить их в открытых базах данных.
Claroc уведомила SpaceXSI и пострадавшие организации. Некоторые компании быстро приняли меры. SpaceXSI отреагировала только после того, как Claroc упомянула Илона Маска и другого руководителя компании на платформе X. После этого SpaceXSI удалила 24 собственных приложения, раскрывавших внутренние данные, однако не предприняла аналогичных действий в отношении приложений других пользователей и организаций, которые остаются доступными.