تطبيقات Grok مكشوفة: أكثر من 35 ألف تطبيق يسرّب بيانات حساسة

تتيح Grok بناء تطبيق يعمل من وصف نصي في المحادثة، وفُتحت الخاصية لكل الاشتراكات في 19 أغسطس. ويحصل كل تطبيق منشور على نطاق فرعي من grok.me، ويختار صاحبه من يستطيع فتحه.

ماذا وجد الباحثون؟

• أغلب التطبيقات المفتوحة ألعاب وصفحات هبوط وحاسبات، لكن قرابة 10% منها احتوت بيانات عمل أو بيانات شخصية، ونحو 2% احتوت مواد خطيرة أو حرجة.
• بينها 24 تطبيقاً بناها موظفون في X وفي SpaceXSI (المعروفة سابقاً باسم xAI)، فيها خطة تعيين سرية وخريطة مبيعات لـ 594 حساباً. وحذفت الشركة تطبيقات موظفيها، لكنها لم تحذف تطبيقات المستخدمين الآخرين.
• كشفت التطبيقات بيانات 30 جهة أخرى، منها 6 من شركات Fortune 500. ومن الأمثلة قائمة بأكثر من 3,500 موظف في مجموعة مستشفيات، وجدول دوام لإدارة إطفاء، وكود يحتوي كلمات مرور كل الموظفين بنص صريح.

لماذا انكشفت؟

عند النشر كان الخيار الافتراضي «Anyone with the link». ورابط التطبيق لا يبقى سرياً، لأن فتحه يولّد استعلام DNS تسجله خدمات Passive DNS، ويستطيع أي مشترك فيها البحث في هذه السجلات.

الدرس لمن يبني تطبيقات بالـ AI

1. اختر «Invited users» أو «Only you» لأي تطبيق يحتوي بيانات داخلية.
2. لا تضع كلمات مرور أو بيانات عملاء داخل كود التطبيق.
3. على الشركات وضع سياسة واضحة لأدوات Vibe Coding، ومراجعة ما ينشره الموظفون.