Una investigación de seguridad reveló que miles de aplicaciones publicadas con Grok Build podían consultarse sin iniciar sesión. La exposición se atribuye a una combinación de opciones de privacidad predeterminadas poco seguras y direcciones web que, aunque parecían difíciles de adivinar, podían localizarse mediante servicios de DNS pasivo.
Grok Build, el agente de programación con inteligencia artificial de SpaceXSI, permite crear aplicaciones web a partir de instrucciones escritas en una interfaz de chat y publicarlas directamente en la plataforma. Cada aplicación recibe una dirección con el formato .grok.me. Sin embargo, investigadores de Claroc explicaron que estas direcciones podían encontrarse mediante servicios que recopilan y catalogan nombres de dominio observados en el tráfico DNS.
Claroc identificó 43.601 direcciones de este tipo. De ellas, 35.578 —el 94,7 %— permitían acceder a las aplicaciones sin autenticación. Según los investigadores, al publicar una aplicación se ofrecen tres opciones de acceso: “Cualquiera que tenga el enlace”, “Usuarios invitados” y “Solo tú”. La primera estaba seleccionada por defecto, lo que podía dejar contenido expuesto si los creadores no revisaban la configuración.
### Datos personales y empresariales al descubierto
Aunque muchas aplicaciones eran herramientas sencillas, como juegos, calculadoras o páginas informativas, Claroc encontró que aproximadamente una de cada diez contenía información empresarial interna o sensible. Cerca del 2 % presentaba datos cuya exposición podía considerarse de gravedad alta o crítica.
Entre los ejemplos identificados había un directorio de empleados de un hospital con más de 3.500 nombres, un informe de cuidados intensivos con información de pacientes y una base de datos de contratación de una empresa de transporte con más de 1.000 personas. Los investigadores también hallaron una hoja de control horario cuyo código descargable incluía 18 cuentas con contraseñas en texto plano, entre ellas credenciales de administrador.
La exposición también afectó a aplicaciones de SpaceXSI. Claroc informó haber encontrado 24 aplicaciones abiertas con materiales internos, como planes de incorporación, listas de empleados, un mapa de ventas con casi 600 cuentas estratégicas y sus oportunidades comerciales, planes de medios y presentaciones para anunciantes. Algunos documentos incluían presupuestos y estaban marcados como confidenciales.
Además de consultar información, los investigadores probaron si era posible modificarla. En sus pruebas, una aplicación permitía que visitantes sin autenticar cambiaran una base de contactos compartida; otra concedía acceso automáticamente a cualquier persona que iniciara sesión con una cuenta de Google, aunque no perteneciera al equipo correspondiente.
### La respuesta y las lecciones de seguridad
Claroc notificó sus hallazgos a SpaceXSI el 8 de noviembre. Según el informe, en los dos días siguientes las aplicaciones de SpaceXSI dejaron de estar disponibles mientras la empresa abordaba el problema. Los investigadores indicaron que también estaban trabajando para avisar a los demás afectados.
El caso pone de relieve los riesgos de publicar aplicaciones generadas con herramientas de inteligencia artificial sin revisar sus permisos, autenticación y controles de acceso. Las organizaciones deberían comprobar quién puede ver o modificar cada aplicación, evitar contraseñas almacenadas en texto plano y tratar como potencialmente públicas las direcciones que no estén protegidas por controles de seguridad efectivos.
from Latest from TechRadar https://ift.tt/st8WuH2
via IFTTT IA
