Firma keamanan Claroc menemukan 37.571 aplikasi buatan Grok Build di internet, dan 35.578 di antaranya terbuka tanpa login. Menurut The Hacker News, sekitar satu dari sepuluh aplikasi terbuka itu berisi data bisnis internal atau data pribadi. Sebagian besar sisanya hanya game, halaman arahan, dan kalkulator.
Mengapa bisa terbuka
Setiap aplikasi yang dipublikasikan mendapat subdomain grok.me. Dalam akun uji peneliti, opsi akses bawaan sudah “Anyone with the link”, dengan pilihan lain “Invited users” dan “Only you”. Nama aplikasi sering memakai empat kata acak yang sulit ditebak, tetapi nama itu bisa muncul di catatan passive DNS yang bisa dicari. Dalam uji peneliti, pemeriksaan login di aplikasi buatan Grok tidak menahan akun yang tidak diundang. Mereka hanya menguji aplikasi milik sendiri.
Apa saja yang terpapar
Dua puluh empat aplikasi dibuat staf X dan SpaceXSI, perusahaan yang sebelumnya bernama xAI. Isinya antara lain rencana onboarding penjualan, peta wilayah penjualan 594 akun, dan proposal iklan X untuk sebuah lembaga federal AS. Claroc juga menemukan data dari 30 organisasi lain, termasuk enam perusahaan Fortune 500 di sektor konstruksi, energi, kesehatan, dan pertahanan.
IBTimes UK memberi contoh: dasbor kesehatan kerja perusahaan konstruksi Peru dengan 3.784 catatan pemeriksaan medis, daftar 108 personel kontraktor teknik kapal untuk kontrak logistik Angkatan Laut AS, dan daftar sekitar 3.565 karyawan sebuah perusahaan kesehatan. The Hacker News menyebut aplikasi absensi yang menyimpan kata sandi karyawan sebagai teks biasa. Claroc memperkirakan sekitar 2 persen aplikasi terbuka berperingkat tinggi atau kritis.
Tanggapan SpaceXSI
Claroc melapor pada Minggu, 8 November, dan belum mendapat balasan langsung saat laporan terbit. Setelah ditanya wartawan, SpaceXSI menurunkan 24 aplikasi milik stafnya, tetapi belum aplikasi milik pengguna lain. Perusahaan menyatakan aplikasi tetap privat sampai dibagikan, akun karyawan bawaannya “Only you”, dan publikasi melewati beberapa langkah. Claroc meminta “Only you” jadi pengaturan bawaan untuk semua dan opsi membatasi akses ke domain email perusahaan. Alamat aplikasi dirahasiakan, dan Claroc mulai menghubungi organisasi terdampak.
Pelajaran untuk tim yang memakai pembuat aplikasi AI
Saran Claroc praktis: ketahui pembuat aplikasi AI apa yang dipakai staf tanpa sepengetahuan IT, pastikan aplikasi berisi data internal diatur ke “Invited users” atau “Only you”, dan uji dengan akun luar untuk memastikan ada halaman galat. Periksa juga skrip aplikasi untuk kredensial yang terpapar dan hapus aplikasi tanpa pemilik.
Sumber: The Hacker News, IBTimes UK. Gambar: IBTimes UK.