Claroc: Grok Build'in paylaşım linkleri yaklaşık 35 bin uygulamayı ve içindeki gizli iş verilerini açıkta bıraktı
Güvenlik şirketi Claroc'un araştırmasına göre SpaceXSI'ın vibe-coding agent'ı Grok Build ile üretilen uygulamaların paylaşım adresleri tahmin edilebilir hale geliyor; açıkta kalan veriler arasında SpaceXSI'ın kendi iç belgeleri de var.
SpaceX ile xAI'ın birleşmesinden doğan SpaceXSI'ın vibe-coding agent'ı Grok Build, kullanıcıların ürettiği uygulamaları başkalarıyla paylaşmasına izin veren linkler üzerinden hassas veri sızdırıyor. Bunu ortaya koyan, güvenlik şirketi Claroc'un Ars Technica'nın 10 Kasım'da aktardığı araştırması. Araştırmaya göre yaklaşık 35 bin Grok Build uygulaması, adresi arayan herkese açık durumda.
Grok Build, paylaşım adreslerini rastgele üretiyor; amaç yalnızca tam adresi bilen kişinin uygulamaya ulaşabilmesi. Claroc'a göre platformdaki bir tasarım kararı bu korumayı fiilen boşa çıkarıyor ve binlerce canlı projenin listelenebilmesine yol açıyor. Linke tıklandığında çoğu durumda uygulama açılıyor ve ona bağlı tüm veriler görünüyor. SiberMagazin yöntemin teknik ayrıntısını, kötüye kullanıma yol göstermemek için yayımlamıyor.
Neler açıkta?
Claroc'un örneklemine göre açıkta kalan veriler arasında şirket içi iş planları, reklam teklifleri, tıbbi tahlil sonuçları, bir yolcu gemisi işletmesine ait mutfak kontrol listeleri ve çalışan adları ile kimlik numaraları var. Dikkat çeken nokta, verilerin bir kısmının platformu sunan şirketin kendisine ait olması: Claroc, SpaceXSI tarafından oluşturulmuş 24 uygulama buldu. Bunlarda "gizli" ibareli bir kurumsal satış ekibi oryantasyon planı, 594 müşteri hesabını gösteren bir satış bölgesi haritası, satış araçlarının iç sistem adresleri ve reklam teklifleri yer alıyor.
Kaynak haberde SpaceXSI'ın bulgulara yönelik bir açıklamasına ya da düzeltme takvimine yer verilmiyor. SiberMagazin açıkta kalan verileri görmedi ve doğrulamadı.
Neden önemli?
Grok Build, Temmuz'da da kullanıcıların Git depolarını ve depolardaki secret'ları gerekenden fazla buluta yüklediği bulgusuyla gündeme gelmiş, şirket o dönem saklanan kod verilerini silme ve varsayılan saklamayı kapatma kararı almıştı. Yeni bulgu ise farklı bir katmanda: AI ile hızla üretilen ve "link bilen görür" mantığıyla paylaşılan uygulamalar, gerçek iş verisiyle doldurulduğunda fiilen herkese açık bir yayına dönüşebiliyor. Vibe-coding araçlarının kurumlarda BT'nin bilgisi dışında yayıldığı düşünülürse sorun yalnızca tek bir platformla sınırlı değil.
Ne yapılmalı?
- Kurumunuzda Grok Build veya benzeri vibe-coding platformlarıyla üretilmiş paylaşımlı uygulama olup olmadığını envanterleyin; çalışanlara sorun, proxy ve DLP kayıtlarında bu alan adlarına giden trafiğe bakın.
- Gerçek müşteri, çalışan veya sağlık verisi içeren paylaşımlı uygulamaları kaldırın ya da kimlik doğrulama gerektiren bir ortama taşıyın; "gizli link" tek başına erişim denetimi değildir.
- Bu uygulamalarda kullanılmış API anahtarı, token ve parolaları açığa çıkmış kabul edip yenileyin.
- AI ile uygulama üretimi için kurumsal kullanım politikası belirleyin: hangi veri sınıflarının bu araçlara girebileceği yazılı olsun.
- Kişisel veri içeren bir uygulama açıkta kaldıysa KVKK kapsamındaki ihlal bildirim yükümlülüğünü hukuk ekibinizle değerlendirin.
