Elon Musk’ın şirketleri tarafından geliştirilen Grok Build platformunda yaşanan güvenlik açığı, 35.578 uygulamanın verilerini internete açık hâle getirdi. Claroc araştırmacılarının ortaya çıkardığı olayda hastane kayıtları, yönetici parolaları, Tesla belgeleri şirket içi ticari bilgiler şifre koruması olmadan erişilebilir durumdaydı. SpaceXSI, kendi çalışanlarına ait bazı belgeleri birkaç saat içinde erişime kapatırken kullanıcıların verileri günlerce açık kaldı.
Grok Build’deki Güvenlik Açığı Binlerce Uygulamayı EtkilediGrok Build, kullanıcıların yazılım geliştirme bilgisine ihtiyaç duymadan sohbet arayüzü üzerinden uygulama oluşturmasına olanak tanıyan yapay zekâ aracı olarak sunuluyor. Kullanıcılar geliştirmek istedikleri uygulamayı doğal dille tarif ediyor, platform talebe göre çalışan yazılım ortaya çıkarıyor. Ancak Claroc tarafından tespit edilen yapılandırma sorunu, platformda oluşturulan uygulamaların gizliliğini tehlikeye.
Araştırmaya göre sorun, mühendislik kaynaklı hatayla varsayılan ım ayarlarının birleşmesinden kaynaklandı. Grok Build üzerinden yayınlanan uygulamalarda erişim seçeneği otomatik olarak “Bağlantıya sahip olan herkes” biçiminde ayarlanıyordu. Kullanıcıların önemli bölümü tercihi değiştirmediği için uygulamalar, bağlantıyı bilen herkesin erişebileceği şekilde yayınlandı.
Güvenlik açığının etkisi yalnızca uygulamaların kendisiyle sınırlı kalmadı. Kullanıcıların platforma yüklediği belgeler, veri tabanı kayıtları uygulamaların arka planında bulunan hassas bilgiler dışarıdan erişilebilir hâle geldi. Claroc’un tespit ettiği 35.578 uygulama, kişisel verilerden kurumsal belgelere kadar geniş bilgi kümesini kapsıyordu.
Grok Build, yayınlanan her uygulama için rastgele dört kelimeden oluşan özel web adresi oluşturuyordu. kelimeler,.me alan adının önüne eklenerek uygulamaya ait bağlantıyı meydana getiriyordu. Ancak adres yapısının şekilde tasarlanması, uygulamaların pasif DNS kayıtları üzerinden tespit edilmesini kolaylaştırdı.
Pasif DNS hizmetleri, alan adlarıyla IP adresleri arasındaki geçmiş eşleşmeleri kaydederek internet altyapısındaki değişikliklerin izlenmesini sağlıyor. Araştırmacılar, Grok Build tarafından oluşturulan adresleri kayıtlar üzerinden belirleyebildi. ım ayarlarının varsayılan olarak herkese açık olması nedeniyle bulunan bağlantılar, uygulamalardaki verilere erişmek için yeterli hâle geldi.
Google ChatGPT gibi rakip platformların gizli bağlantıların bazı bölümlerini URL’nin sonuna yerleştiren farklı adresleme yöntemleri kullandığı belirtiliyor. Grok Build’in dört kelimelik adres yapısı ise uygulama bağlantılarının dış kaynaklar aracılığıyla keşfedilmesini kolaylaştıran unsurlardan biri. Böylece erişim bağlantısını ele geçiren kişiler, ek parola veya kimlik doğrulaması olmadan uygulamaları görüntüleyebildi.
Claroc araştırmacılarının incelediği içerikler, güvenlik açığının farklı sektörlerdeki kullanıcıları etkilediğini ortaya koydu. Sızan belgeler arasında yaklaşık 3.500 kişilik hastane personel rehberi, yoğun bakım hastalarına ait laboratuvar sonuçları lüks yolcu gemisinin gizli mürettebat denetim formu bulunuyordu.
Tesla çalışanlarıyla bağlantılı teknisyen performans puan kartı erişime açık belgeler arasında yer. ABD Donanması için çalışan mühendislik yüklenicisinin personel listesi araştırmacıların tespit ettiği dosyalardan biriydi. Söz konusu kayıtlar, kullanıcıların Grok Build’i yalnızca deneme uygulamaları oluşturmak için değil, kurum içi bilgileri işlemek amacıyla kullandığını gösterdi.
Sızıntının en kritik örneklerinden biri, şirketin dijital zaman çizelgesi uygulamasının arka plan kodlarında ortaya çıktı. Araştırmacılar, uygulamanın kodunda 18 yöneticinin parolasının açık metin olarak saklandığını belirledi. Şifrelerin herhangi koruma mekanizması olmadan tutulması, uygulama bağlantısına ulaşan kişilerin kurumsal hesaplara erişim riskiyle karşı karşıya kalmasına neden.
Claroc, güvenlik açığıyla ilgili bulgularını 8 Kasım’ SpaceXSI’a bildirdi. Şirket, bildirimin ardından birkaç saat içinde SpaceXSI X çalışanlarıyla bağlantılı 24 uygulamayı erişime kapattı. uygulamalarda gizli iş planları reklam bütçeleri gibi şirket içi bilgiler bulunuyordu.
Ancak araştırmacıların aktardığına göre kullanıcıların Fortune 500 şirketlerinin verileri aynı hızla koruma altına alınmadı. Bazı belgeler günler boyunca internet üzerinden erişilebilir kaldı. Şirketin kendi çalışanlarına ait kayıtları kısa sürede gizlemesine rağmen kuruluşların verileriyle ilgili uyarılara günlerce yanıt vermemesi, olayın müdahale sürecine ilişkin soru işaretleri yarattı.
Grok Build vakası, yapay zekâ destekli uygulama geliştirme platformlarında varsayılan ım tercihlerinin veri güvenliği kontrollerinin önemini ortaya koydu. Kullanıcıların hassas belgeleri tür araçlara yüklemesi, erişim izinlerindeki küçük yapılandırma hatasının geniş çaplı veri ihlallerine dönüşmesine yol açabiliyor. Özellikle sağlık kayıtları, yönetici parolaları ticari sırlar gibi kritik bilgilerin işlendiği uygulamalarda erişim denetimi güvenli saklama mekanizmaları temel gereksinimler arasında yer alıyor.
