تفاصيل الثغرة الأمنية
أظهرت أبحاث أجرتها شركة الأمن السيبراني Claroc وجود ثغرة أمنية جسيمة في منصة Grok Build، وهي أداة تطوير تعتمد على الذكاء الاصطناعي من شركة SpaceXSI. تسمح هذه الثغرة لأي شخص بالوصول إلى آلاف المشاريع البرمجية المنشورة عبر المنصة، مما أدى إلى كشف بيانات حساسة تتضمن خطط عمل داخلية، نتائج فحوصات طبية، قوائم موظفين، وتفاصيل مالية.
تكمن المشكلة في آلية تصميم روابط المشاركة؛ حيث يتم وضع الرموز العشوائية (التي تهدف لحماية الرابط) في الجزء الأيسر من النطاق (Subdomain) بدلاً من مسار الرابط (Path). هذا التصميم يجعل الروابط قابلة للاكتشاف بسهولة عبر خدمات DNS السلبية، مما يتيح للمهاجمين حصر آلاف المشاريع النشطة والوصول إلى محتوياتها بمجرد النقر على الرابط.
ما الذي يتغير عملياً؟
أكد الباحثون أن المنصة تقوم افتراضياً بضبط إعدادات المشاركة على خيار "أي شخص لديه الرابط" (Anyone with the link)، وهو ما يتناقض مع ادعاءات الشركة بأن التطبيقات تكون خاصة افتراضياً. وقد وجد الباحثون أكثر من 35 ألف رابط عام من أصل 43 ألف رابط تم فحصها، مما يعني أن نسبة كبيرة من مستخدمي المنصة عرضة لتسريب بياناتهم دون علمهم.
تأثرت بهذه الثغرة جهات متنوعة، منها:
- شركة SpaceXSI نفسها، التي كشفت عن خطط توظيف داخلية وخرائط مبيعات.
- شركات كبرى في قطاعات الإنشاءات، النقل، والرعاية الصحية.
- مقاولون في قطاع الدفاع والهندسة البحرية.
لماذا يهم هذا الخبر؟
يبرز هذا الحادث مخاطر الاعتماد على أدوات الذكاء الاصطناعي التوليدي في بيئات العمل دون التحقق من إعدادات الخصوصية والأمن. كما يوضح أهمية اتباع الممارسات القياسية في تطوير الويب، مثل وضع رموز التحقق في مسار الرابط (Path) لضمان عدم تسربها عبر سجلات DNS العامة، وهو نهج تتبعه منصات مثل Google Docs وChatGPT.
بعد إخطار الشركة، قامت SpaceXSI بإزالة الروابط المتضررة، لكن الحادث يثير تساؤلات حول سياسات الخصوصية في أدوات البرمجة المعتمدة على الذكاء الاصطناعي، خاصة وأن منصات أخرى مثل Lovable وBolt تعاني من تحديات مشابهة في كيفية التعامل مع روابط المشاركة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.