บริษัทรักษาความปลอดภัย Claroc ได้แจ้ง Ars Technica เกี่ยวกับช่องโหว่ใน Grok Build vibe-coding agent ของ SpaceXSI ซึ่งทำให้ข้อมูลละเอียดอ่อนของผู้ใช้หลายพันรายรั่วไหล
ตามที่ทีมรักษาความปลอดภัยระบุ วิธีการที่ Grok จัดการลิงก์ไปยังแอปพลิเคชันทำให้ข้อมูลเหล่านี้ถูกเปิดเผยต่อสาธารณะผ่านบริการ DNS บางประเภท ส่งผลให้ข้อมูลของกลุ่มโรงพยาบาล, แผนกดับเพลิง และ SpaceXSI เองรั่วไหล
ข้อมูลที่รั่วไหลจาก SpaceXSI นั้นรวมถึงแผนการเริ่มต้นใช้งาน แผนที่เขตการขายสำหรับ 594 บัญชีเชิงกลยุทธ์ ข้อเสนอการโฆษณา X แผนกบัญชีผู้ลงโฆษณาที่ใช้งานอยู่ และคู่มือด้านความปลอดภัยของแบรนด์ X สองฉบับ
Claroc ประเมินว่าประมาณสองเปอร์เซ็นต์ของข้อมูลที่เปิดเผยนั้นมีความร้ายแรงในระดับสูงหรือวิกฤต
ปัญหาอยู่ที่การสร้างลิงก์ของ Grok Build แม้ว่าจะใช้ ‘dice words’ (วลีสุ่มสี่คำ) ที่มีความเข้มข้นถึง 38 บิต แต่การวางส่วนประกอบของลิงก์ไว้ด้านหน้าโดเมน แทนที่จะอยู่ด้านขวาเหมือน Gemini ของ Google ทำให้เซิร์ฟเวอร์ DNS แบบ Passive สามารถค้นพบและจับกุมลิงก์เหล่านั้นในฐานข้อมูลที่เปิดเผยต่อสาธารณะได้
ศัพท์ที่ควรรู้
- Grok Build vibe-coding agent – ตัวแทนที่ใช้ในการเข้ารหัสแบบ vibe ของ Grok ซึ่งเป็นต้นตอของช่องโหว่
- DNS services – บริการ Domain Name System ที่ทำหน้าที่แปลชื่อโดเมนเป็นที่อยู่ IP
- Entropy – การวัดปริมาณความไม่แน่นอนหรือความสุ่มของข้อมูล ซึ่งในที่นี้คือความแข็งแกร่งของลิงก์
- Passive DNS servers – เซิร์ฟเวอร์ DNS ที่ไม่ได้ถูกใช้งานเชิงรุก แต่ยังคงสามารถบันทึกการสอบถาม DNS ที่เกิดขึ้นได้
ที่มา: Engadget