Исследователи Claroc в рамках проекта GhostShares, Part 2 проверили доступность приложений режима Grok Build и обнаружили, что более 35 тысяч собранных на платформе проектов открывались без какого-либо входа. Причина — режим публикации по умолчанию «Anyone with the link» плюс предсказуемые поддомены, которые перечисляются через пассивный DNS без перебора имен. В открытом доступе оказались конфиденциальные материалы 30 организаций, в том числе шести компаний из Fortune 500: от коммерческих предложений до медицинских записей. Инцидент показал, что создание приложений одним промптом до сих пор лишено безопасных значений по умолчанию, поэтому проверять такие проекты нужно так же строго, как обычный продакшен-код.

image
image
image

Что произошло

Команда Claroc собрала 43 551 адрес поддоменов вида .grok.me и проверила их по HTTP без аутентификации: в сети оказалось 37 571 приложение, и 35 578 из них — 94,7% — открывались полностью без входа. Среди открытых посторонним проектов исследователи описали карту продаж с 594 счетами, конфиденциальное коммерческое предложение для федерального агентства США, список персонала больницы на 3500 и более человек и данные пациента из отделения реанимации и интенсивной терапии, включая результаты анализов и параметры искусственной вентиляции легких. В клиентском скрипте приложения учета рабочего времени лежали 18 учетных записей с паролями в открытом виде. Публичными были и 24 приложения, созданные сотрудниками X и SpaceXSI, — компании, которая сама разрабатывает Grok. Дефект не ограничивался публикацией: по данным Claroc, аккаунт, приложенный к чату, добавлялся в «команду» приложения до того, как код проверял, относится ли аккаунт к этой команде, поэтому в собственной тестовой сборке для отдела продаж исследователей аккаунт без приглашения мог просматривать и изменять клиентские данные. 8 ноября SpaceXSI отключила свои 24 приложения, а 10 ноября Claroc начали самостоятельно уведомлять затронутые организации.

Контекст

Grok Build — это режим Grok, в котором приложение собирается прямо из диалога: пользователь описывает задачу промптом, модель генерирует проект, а публикация сводится к выдаче ссылки. Петля «промпт — приложение — публикация по ссылке» стала главным сценарием категории AI-конструкторов именно потому, что не требует ни программирования, ни настройки окружения, но вместе с простотой она переложила ключевые инженерные решения — настройки доступа, модель авторизации, хранение секретов — на дефолты платформы. Второй фактор — адресация: у каждого приложения уникальный поддомен вида .grok.me, и все запросы к таким поддоменам оседают в пассивном DNS, то есть в записях DNS-запросов, которые собирают сторонние сервисы, поэтому перечислить существующие имена можно без единой попытки подбора на самом сайте. Из этих двух обстоятельств следует главное о категории: мини-приложения из конструкторов прекрасно работают как демонстрации, но по умолчанию не готовы к продакшену с реальными данными — не потому, что модель плохо пишет код, а потому, что сама точка публикации спроектирована вокруг скорости, а не вокруг контроля доступа.

Почему это важно для индустрии

Для индустрии это не единичный сбой, а первое систематическое измерение рисков генераторов приложений: небезопасный режим публикации по умолчанию, сломанная проверка прав и предсказуемая адресация превращают десятки тысяч автоматически созданных мини-приложений в готовую поверхность атаки, через которую утекают кадровые данные, медицинские записи и коммерческая тайна крупных компаний. Методология Claroc — перечисление поддоменов через пассивный DNS плюс проверка доступности без аутентификации — воспроизводима, и тот же аудит с высокой вероятностью применят к Lovable, Replit и другим конструкторам. Ожидаемая реакция платформ: приватная публикация по умолчанию, явный шаг публикации с выбором аудитории, серверная проверка прав как шаблон генерации, вынос секретов из клиентского кода и ограничения корпоративного уровня. На этом фоне у рынка появляется готовая ниша: слой безопасности и сканеры именно для AI-сгенерированных приложений, оценка безопасности сгенерированного проекта и первые корпоративные тарифы. На горизонте двух лет «secure by default», вероятно, станет конкурентным признаком платформ, а сама категория разделится на потребительские игрушки и решения, готовые к корпоративным требованиям со встроенными ACL, аудитом и SSO; пока же инцидент бьет по доверию к категории, и сделки, где применяется vibe-coding, теперь будут упираться в вопрос безопасности.

Почему это важно для пользователей

Практический вывод для читателя: если вы или ваша компания пользовались Grok Build, Lovable, Replit или похожими конструкторами, считайте каждое собранное приложение публичным, пока не проверите обратное. Стоит пересмотреть настройки доступа каждого приложения и перевести в приватный режим все проекты, где есть реальные данные; войти с внешнего личного аккаунта и убедиться, что видимая часть не открывается; затем поискать в клиентском коде захардкоженные пароли и ключи API. Отдельный урок для тех, кто сам генерирует код: идентификация не равна авторизации — «вход по Google» лишь подтверждает личность, а проверять нужно права пользователя на конкретный ресурс, и делать это на сервере, а не в клиенте. Если собранное приложение хранит данные клиентов или сотрудников, к нему стоит применить обычные требования к продакшен-системам, независимо от того, написан проект человеком за неделю или сгенерирован за минуту.

Что пока неизвестно / ограничения

Методически Claroc измерили только платформу Grok Build и домен grok.me, поэтому вывод о системности проблемы для всех AI-конструкторов, включая Lovable и Replit, — правдоподобная, но пока не подтвержденная измерениями экстраполяция, и для проверки нужна та же процедура на каждой платформе. Не решено и прямое противоречие в материалах: SpaceXSI заявила, что до публикации проекты остаются приватными и у сотрудников дефолтно установлен приватный вариант, при этом 24 приложения сотрудников X и SpaceXSI были открыты; одновременно верными эти два утверждения быть не могут, а объяснение расхождения пока не опубликовано. Остается неизвестным, как долго открытые проекты были доступны до исследования, обращался ли к их данным кто-то посторонний до отключения приложений и когда получат уведомления все 30 затронутых организаций, поскольку рассылку Claroc начали лишь 10 ноября.

Источники

Автор

Look at AI, редакция