Grok Build của SpaceXSI lộ hàng loạt thông tin bảo mật
"Grok Build, a coding agent by SpaceXSI, experienced a data leak exposing sensitive information from thousands of users, including SpaceXSI itself. The vulnerability stems from a flawed URL structure allowing enumeration of project links, revealing data like business plans, medical records, and employee information. SpaceXSI began removing exposed links after notification by Claroc and media inquiries."
Lỗ hổng này cho phép truy cập trái phép vào dữ liệu nhạy cảm của người dùng, bao gồm thông tin cá nhân và bí mật kinh doanh. Điều này có thể dẫn đến vi phạm dữ liệu nghiêm trọng.
Sự cố này gây tổn hại đến uy tín của SpaceXSI và có thể dẫn đến thiệt hại tài chính do vi phạm quy định bảo mật dữ liệu. Các doanh nghiệp sử dụng Grok Build cần đánh giá lại rủi ro bảo mật.
SpaceXSI, công ty sở hữu Grok Build, vừa để lộ dữ liệu của hàng nghìn người dùng, bao gồm cả dữ liệu nội bộ của chính SpaceXSI. Nguyên nhân là do cấu trúc URL có lỗ hổng, cho phép dò tìm các liên kết dự án và truy cập dữ liệu như kế hoạch kinh doanh, hồ sơ y tế, và thông tin nhân viên.
Claroc, một công ty bảo mật, đã thông báo cho SpaceXSI về sự cố này vào Chủ nhật. SpaceXSI bắt đầu gỡ bỏ các liên kết bị lộ sau khi Claroc công khai trên X (trước đây là Twitter) và nhận được yêu cầu thông tin từ Ars Technica. Đến thời điểm hiện tại, các liên kết đến 24 ứng dụng nội bộ của SpaceXSI đã trả về lỗi "app not found".
Dữ liệu bị lộ
Dữ liệu bị lộ bao gồm:
Một công ty xây dựng Peru: thông tin sức khỏe của 3.784 công nhân, bao gồm hồ sơ y tế. Tesla: bảng xếp hạng hiệu suất của 22 kỹ thuật viên dịch vụ, kèm thông tin về tiền thưởng. Nhà thầu kỹ thuật tàu Hải quân Hoa Kỳ: danh sách 108 người tham gia hợp đồng hỗ trợ hậu cần Hải quân. Hãng du thuyền hạng sang: danh sách thủy thủ đoàn và mã nhân viên. Công ty chăm sóc sức khỏe: ứng dụng nhân viên bệnh viện với thông tin của khoảng 3.565 nhân viên. Công ty dịch vụ IT Hoa Kỳ: đề xuất bí mật cho khách hàng bán lẻ lớn, bao gồm danh sách vật tư phần cứng. Tập đoàn hàng không vũ trụ Na Uy-Phần Lan: sơ đồ tải và quy trình tải cho nhà máy sản xuất chất nổ tại Hoa Kỳ, cùng với ma trận đào tạo HSE. Công ty xây dựng nhà Hoa Kỳ: thông tin liên hệ của 583 khách hàng tiềm năng, ngân sách và ghi chú tài chính. Công ty holding Malaysia: theo dõi tiến độ 37 dự án, bao gồm lợi nhuận và doanh số. Công ty vận tải ô tô: bảng báo giá với khoảng 4.000 đơn hàng vận chuyển xe, giá cả và lợi nhuận. * Nhà cung cấp dịch vụ trung tâm dữ liệu và lưu trữ Hoa Kỳ: đề xuất truyền tải IP bí mật cho một nhà mạng châu Âu.
Asaf Aprozper, CTO của Claroc, đang thông báo cho các công ty bị ảnh hưởng. Một công ty du thuyền đã kích hoạt toàn bộ đội bảo mật sau khi nhận được thông tin.
Câu hỏi thường gặp
Grok Build là gì?
Grok Build là một 'agent coding' (tức là công cụ hỗ trợ viết code) do SpaceXSI phát triển, cho phép người dùng tạo ứng dụng nhanh chóng từ văn bản hoặc giọng nói.
Lỗ hổng này hoạt động như thế nào?
Cấu trúc URL của Grok Build cho phép dò tìm các liên kết dự án, từ đó truy cập dữ liệu liên quan. SpaceXSI đã khắc phục bằng cách gỡ bỏ các liên kết bị lộ.
Những loại dữ liệu nào bị lộ?
Dữ liệu bị lộ bao gồm kế hoạch kinh doanh, hồ sơ y tế, thông tin nhân viên, và dữ liệu liên quan đến các dự án của nhiều công ty khác nhau.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này cho thấy rủi ro khi tự phát triển các nền tảng AI. Các doanh nghiệp Việt Nam đang tìm cách tích hợp AI vào quy trình làm việc nên cân nhắc kỹ lưỡng các giải pháp từ các nhà cung cấp uy tín, thay vì tự xây dựng. Điều đáng chú ý là việc kiểm tra bảo mật cần được thực hiện thường xuyên, ngay cả khi sử dụng các nền tảng đã được kiểm chứng.