Grok Build’de Binlerce Uygulamanın Verisi Açığa Çıktı

xAI’ın uygulama geliştirme aracı Grok Build’deki bir güvenlik açığı, platformda hazırlanan binlerce uygulamanın ve içeriğinin internette erişilebilir hâle gelmesine neden oldu. Güvenlik araştırma şirketi Claroc’un incelemesine göre sorunun temelinde, uygulama adreslerinin bulunmasını kolaylaştıran sistem tasarımı ile varsayılan paylaşım ayarları yer aldı. Bağlantıyı bulan kişiler, ek bir şifre girmeden uygulamalara ulaşabildi.

Açık yalnızca deneme amaçlı içerikleri etkilemedi. Araştırmacılar, kurum içi belgelerden personel kayıtlarına ve sağlık verilerine uzanan hassas bilgilerin de erişime açık olduğunu bildirdi. SpaceXSI çalışanlarının oluşturduğu bazı uygulamalarda gizli şirket planları bulunurken, başka kullanıcıların yüklediği belgeler de risk altına girdi.

Uygulama bağlantıları nasıl bulunabildi?

Grok Build’de yayınlanan her uygulamaya, rastgele dört kelimeden oluşan bir web adresi atanıyordu. Adreslerin “grok.me” alan adının önüne eklenen bu kelimelerden oluşması, bağlantıların pasif DNS kayıtları üzerinden tespit edilmesini mümkün kıldı. Başka bir deyişle, uygulamaların adresleri yalnızca onları oluşturan kişilerle sınırlı kalmayabilecek bir biçimde listelenebiliyordu.

Adres yapısının yanı sıra varsayılan paylaşım tercihi de erişimi kolaylaştırdı. Uygulamalar yayınlandığında paylaşım ayarı otomatik olarak “Bağlantıya sahip olan herkes” seçeneğine ayarlanıyordu. Bu tercihi değiştirmeyen kullanıcıların içerikleri, bağlantıyı bilen herkes tarafından görüntülenebilir hâle geldi. DNS kayıtlarından bulunan adresler de uygulamalara ulaşmak için yeterliydi; giriş bilgisi gerekmiyordu.

Claroc’un aktardığına göre Grok Build’in bu yaklaşımı, bazı rakip platformların kullandığı bağlantı düzeninden ayrılıyor. Rakip hizmetlerde gizli bağlantılara ait bölümler URL’nin sonuna eklenirken Grok Build’deki adres biçimi, uygulamaların tespit edilmesini kolaylaştırdı. Varsayılan paylaşım ayarıyla birleşen bu tasarım, kullanıcıların gizli kalmasını beklediği içerikler için ciddi bir erişim riski yarattı.

Sağlık kayıtlarından şirket parolalarına uzanan içerikler

Açıkta kalan veriler arasında yaklaşık 3.500 kişilik bir hastane personel rehberi ve yoğun bakım hastalarına ait laboratuvar sonuçları yer aldı. Araştırmacılar ayrıca lüks bir yolcu gemisinin gizli mürettebat denetim formuna, Tesla teknisyenlerinin performans puan kartına ve ABD Donanması için çalışan bir mühendislik yüklenicisinin personel listesine erişilebildiğini belirtti.

İncelemede bir şirketin dijital zaman çizelgesine ait arka plan kodunda, 18 yöneticinin parolasının açık metin biçiminde tutulduğu da bildirildi. Bu örnek, riskin yalnızca uygulamaların görünen sayfalarıyla sınırlı olmadığını gösteriyor. Uygulamalara yüklenen veya arka planda kullanılan hassas bilgiler de yanlış paylaşım ayarları nedeniyle dışarıdan erişilebilir durumda kalabiliyordu.

SpaceXSI çalışanlarının hazırladığı 24 uygulamada ise şirketin gizli satış planları ve reklam bütçeleri bulundu. Bu içerikler, platformdaki açığın bizzat SpaceXSI ve X çalışanlarının iş belgelerini de etkilediğini ortaya koydu. Ancak araştırmanın aktardığı örnekler, sorunun tek bir şirkete ait uygulamalarla sınırlı olmadığını; hastaneler, yükleniciler ve başka kurumların kullanıcılarının da etkilenebildiğini gösteriyor.

SpaceXSI kendi uygulamalarını hızla kapattı

Claroc, güvenlik sorununu 8 Kasım’da şirkete bildirdi. Bildirimin ardından SpaceXSI ve X çalışanlarına ait 24 uygulamanın erişimi birkaç saat içinde kapatıldı. Buna karşılık diğer kullanıcıların ve Fortune 500 şirketlerinin verilerinin günler boyunca internette erişilebilir kaldığı belirtildi. Araştırmacıların iddiasına göre şirket, kendi belgelerini hızla gizlerken diğer kurumların verilerini etkileyen sorunla ilgili dışarıdan gelen uyarılara günlerce yanıt vermedi.

Olay, yapay zekâ destekli uygulama geliştirme araçlarında yalnızca modelin ürettiği kodun değil, yayınlama ve paylaşım seçeneklerinin de güvenliğin parçası olduğunu hatırlatıyor. Bir uygulamanın bağlantısının zor tahmin edileceğini varsaymak, erişim kontrolünün yerini tutmuyor. Kullanıcıların içeriklerini yayımlarken varsayılan paylaşım ayarlarını kontrol etmesi önemli olsa da güvenli varsayılanların belirlenmesi ve hassas verilerin korunması platform sağlayıcısının sorumluluğunda da bulunuyor.

Sık sorulan sorular

Grok Build’deki güvenlik açığı neydi?

Platformda hazırlanan uygulamalara rastgele dört kelimeden oluşan, pasif DNS kayıtlarıyla tespit edilebilen adresler atanıyordu ve paylaşım ayarı varsayılan olarak “Bağlantıya sahip olan herkes” idi; bu yüzden binlerce uygulama şifresiz erişilebilir hâle geldi.

Hangi tür veriler açıkta kaldı?

Araştırmacılara göre yaklaşık 3.500 kişilik bir hastane personel rehberi, yoğun bakım hastalarının laboratuvar sonuçları, çeşitli personel listeleri ve bir şirketin arka plan kodunda açık metin hâlinde tutulan 18 yöneticinin parolası erişilebilirdi.

Sorunu kim buldu ve ne zaman bildirildi?

Güvenlik araştırma şirketi Claroc sorunu 8 Kasım’da şirkete bildirdi.

Şirket sorunu giderdi mi?

SpaceXSI ve X çalışanlarına ait 24 uygulamanın erişimi birkaç saat içinde kapatıldı; ancak diğer kullanıcıların ve Fortune 500 şirketlerinin verilerinin günler boyunca erişilebilir kaldığı belirtildi.