Grok Build: KI-Apps geben Geschäftsgeheimnisse und persönliche Daten preis

Mehr als 35.000 mit dem Vibe-Coding-Tool Grok Build erstellte Webanwendungen waren für Dritte ohne Anmeldung zugänglich. Das auf KI-Sicherheit spezialisierte Unternehmen Claroc deckte auf, dass sich die Freigabelinks der Apps über öffentliche DNS-Datenbanken finden ließen. Anhand einer Stichprobe schätzt Claroc, dass 650 bis 800 der Anwendungen private Daten enthielten. Betroffen war auch der Grok-Anbieter SpaceXSI selbst.

In 24 öffentlich zugänglichen Apps von Mitarbeitern von SpaceXSI und X fanden die Forscher unter anderem einen vertraulichen Einarbeitungsplan mit internen Systemadressen sowie eine Vertriebskarte mit Informationen zu 594 strategisch wichtigen Kundenkonten und deren Vertriebsaktivitäten. Bei 30 weiteren Organisationen, darunter sechs Fortune-500-Unternehmen, entdeckten sie Mitarbeiterlisten und medizinische Daten eines Intensivpatienten. Eine Zeiterfassungs-App enthielt im öffentlich zugänglichen Programmcode die Passwörter von 18 Nutzerkonten.

Freigabelinks über DNS auffindbar

Eine Ursache des Lecks liegt im Aufbau der Freigabelinks, sagt Claroc. Veröffentlichte Grok-Apps erhalten standardmäßig eine eigene Webadresse „zufallsname.grok.me“. Der zufällige Name soll sie schwer erratbar machen. Beim Aufruf wird er jedoch über das Domain Name System (DNS) abgefragt, das Webadressen den entsprechenden Servern zuordnet. Passive DNS-Dienste erfassen solche Abfragen und speichern die Domainnamen in durchsuchbaren Datenbanken. So können Fremde vermeintlich geheime Links finden. Bei geteilten ChatGPT-Konversationen, Claude Artifacts und Gemini-Inhalten stehen die zufälligen Kennungen in einem Teil der Webadresse, der bei DNS-Abfragen nicht übertragen wird.

Verschärft wird das Problem noch durch die Freigabeeinstellungen von Grok Build: Claroc zufolge ist beim Veröffentlichen voreingestellt, dass jeder mit dem Link auf die App zugreifen kann. Für eine Beschränkung auf eingeladene Personen oder den Ersteller müssen Nutzer diese Einstellung zuerst ändern.

SpaceXSI entfernt eigene Apps

Claroc entdeckte zudem Sicherheitslücken im von Grok erzeugten Code. Bei einer eigenen Testapp konnten Fremde ohne Anmeldung neue Datensätze hinzufügen. Eine zweite bot Anmeldungen über Google und X an, nahm aber auch nicht eingeladene Nutzer automatisch ins Team auf. So konnten sie fiktive Kundendaten lesen, ändern und löschen.

Auf Anfrage von Ars Technica erklärte SpaceXSI, Apps seien zunächst privat und müssten ausdrücklich veröffentlicht werden. Bei Mitarbeiterkonten sei zudem voreingestellt, dass nur der Ersteller Zugriff habe. Claroc bestätigt den Veröffentlichungsvorgang, kritisiert aber die öffentliche Freigabe als Voreinstellung bei regulären Konten.

Wenige Stunden nach der Anfrage begann SpaceXSI, seine 24 betroffenen Apps zu entfernen. Andere Anwendungen blieben zunächst öffentlich zugänglich. Ob das Unternehmen deren Betreiber über die Sicherheitsprobleme informieren will, ließ SpaceXSI offen.