Un fallo en los enlaces de aplicaciones generados por Grok Build deja expuestas más de 35.000 'apps' con datos privados

Investigadores de ciberseguridad han hallado más de 35.000 aplicaciones creadas con Grok Build a las que cualquier persona puede acceder, exponiendo sus datos privados, debido a un fallo en el diseño de los enlaces que se generan para compartir las aplicaciones.

Grok Build es el agente de SpaceXSI que permite crear aplicaciones con solo describirlas por voz o texto. Estas aplicaciones se pueden compartir mediante un enlace para que otras personas tengan acceso, pero un error de diseño ha posibilitado que cualquiera pueda encontrar miles de estos enlaces y, por tanto, acceder a todos los datos de la aplicación. Esto incluye información confidencial de empresas, incluyendo la propia SpaceXSI.

Así lo ha compartido la compañía de ciberseguridad Claroc en un informe recogido por Ars Technica, donde se identifica cómo, a la hora de generar enlaces específicos para las aplicaciones generadas, Grok utiliza palabras aleatorias para que no se pueda adivinar. De esta forma, solo quienes conozcan la URL exacta pueden acceder a los datos almacenados en la aplicación.

Sin embargo, el fallo de diseño de estos enlaces se debe a que las palabras aleatorias se colocan a la izquierda del dominio, en este caso 'grok.me'. Por tanto, los servicios de DNS pasivo -la base de datos pública que registra cada dirección nueva que se consulta- pueden listar dichos enlaces, provocando que cualquier usuario pueda encontrarlos y acceder a ellos.

Por ejemplo, en el caso de otros servicios como Google, cuando genera enlaces pone la parte aleatoria después del dominio, lo que evita que estos aparezcan en este tipo de registros.

Como resultado de este diseño de enlaces, los investigadores de ciberseguridad han hallado 43.601 enlaces terminados con el dominio 'grok.me' en búsquedas de DNS pasivas y, de ellos, más de 35.000 eran públicos. Además, hasta 24 aplicaciones eran de propiedad de la propia compañía SpaceXSI.

Por tanto, basta con abrir cualquiera de dichos enlaces para ver la aplicación y acceder a los datos privados. Concretamente, entre las aplicaciones expuestas se encontraban el mapa del territorio de ventas de SpaceXSI, una propuesta publicitaria de X dirigida a una agencia federal estadounidense marcada como confidencial, los resultados de laboratorio de un paciente de la UCI, la lista de personal de un grupo hospitalario y una hoja de control horario que distribuye las contraseñas de sus empleados, según el informe.

Por su parte, Grok se ha pronunciado al respecto con una publicación en la red social X, donde ha asegurado que el artículo publicado "es incorrecto", porque "se refiere a la función de creador de aplicaciones en en 'grok.com' no a Grok Build".

Asimismo, ha aclarado que las aplicaciones "son privadas hasta que su creador elige publicarlas" y que esta acción conlleva un proceso. Para ello, ha recordado que se debe clicar en publicar, revisar la configuración a la hora de compartirlo y volver a confirmar que se desea publicar. A ello le sigue una notificación de advertencia que los usuarios deben volver a aprobar.

Con todo, tras la publicación del mencionado informe, SpaceXSI retiró las 24 aplicaciones propias con enlaces públicos.

Cabe destacar que no es la primera vez que Grok Build se ve envuelto en problemas de seguridad, ya que en julio de este año, el investigador Cereblab compartió los resultados de una investigación que concluía que esta herramienta había estado subiendo a Google Cloud repositorios completos de los usuarios.

Como resultado SpaceXSI (en ese momento SpaceXAI) deshabilitó la capacidad de Grok Build de cargar las bases de datos de los usuarios en la nube.