Telset.id – Celah keamanan pada agen vibe-coding Grok Build milik SpaceXSI membuat data sensitif dari ribuan pengguna terekspos ke publik, termasuk materi internal SpaceXSI sendiri. Temuan firma keamanan dan penipuan Claroc yang dilaporkan ke Ars Technica menyebut cara Grok menangani tautan ke aplikasi memungkinkan data tersebut diakses oleh siapa pun yang memegang link, tanpa perlu kata sandi.
Insiden ini menjadi sorotan karena SpaceXSI—perusahaan yang mengembangkan Grok—ikut menjadi korban dari mekanisme tautan yang dibuatnya sendiri. Claroc menyebut halaman semacam itu sebagai GhostShares, karena halaman tersebut dapat ditemukan dan dibuka oleh orang yang tidak pernah diberi tautannya.
Mekanisme Tautan Grok Build Jadi Sumber Kebocoran
Claroc menjelaskan bahwa akar masalahnya ada pada cara Grok Build membuat tautan. Meski menggunakan dice words—frasa acak empat kata dengan entropi hingga 38 bit—Grok meletakkan bagian tautan tersebut di sisi kiri domain, bukan di sisi kanan seperti yang dilakukan Gemini milik Google. Akibatnya, tautan dapat ditemukan oleh server DNS pasif dan terekam dalam basis data yang bisa dicari publik.
Menurut tim keamanan Claroc, kebocoran berdampak pada data sensitif yang melibatkan karyawan dari sebuah grup rumah sakit, sebuah departemen pemadam kebakaran, dan SpaceXSI sendiri. “Kami terkejut,” tulis para peneliti dalam sebuah postingan blog. “Perusahaan yang membuat Grok memiliki materi internalnya sendiri terbuka untuk siapa pun yang memegang tautan.”
Dari pihak SpaceXSI, sejumlah materi yang ditemukan antara lain rencana onboarding, peta wilayah penjualan berisi 594 akun strategis, delapan proposal iklan X, empat papan akun pengiklan aktif, dan dua salinan playbook keamanan merek X. Hanya satu dari aplikasi yang terekspos meminta kata sandi.
Claroc juga mencatat enam perusahaan lain yang terdampak masuk dalam daftar Fortune 500 dan 26 perusahaan memiliki lebih dari 1.000 karyawan. “Menurut perkiraan kami, sekitar dua persen menyimpan materi yang cukup serius untuk dinilai tinggi atau kritis,” tulis Claroc.
Baca Juga:
Respons SpaceXSI dan Tindak Lanjut Claroc
Claroc telah membagikan temuannya kepada SpaceXSI dan perusahaan-perusahaan terdampak. Sebagian perusahaan dikabarkan bergerak cepat untuk membatasi paparan Grok tersebut. Namun SpaceXSI sendiri dilaporkan tidak merespons hingga Claroc menandai Musk dan satu pejabat perusahaan lainnya di X.
Setelah itu, SpaceXSI menurunkan 24 aplikasinya sendiri yang terekspos akibat tautan tersebut. Meski demikian, menurut Claroc, SpaceXSI “tidak melakukan hal yang sama untuk aplikasi milik pengguna dan organisasi Grok lain yang dibiarkan terbuka.”
Kasus ini memperlihatkan bahwa desain teknis pada agen vibe-coding—khususnya cara tautan dibentuk dan diposisikan—memiliki konsekuensi langsung terhadap kerahasiaan data pengguna. Claroc menegaskan bahwa materi yang terekspos tidak hanya menimpa organisasi besar, tetapi juga entitas dengan jumlah karyawan besar yang menyimpan data operasional sensitif.
Hingga laporan ini ditulis, belum ada keterangan resmi lebih lanjut dari SpaceXSI mengenai langkah perbaikan menyeluruh terhadap aplikasi pengguna lain yang masih terbuka. Yang jelas, temuan Claroc menempatkan mekanisme tautan Grok Build sebagai titik lemah yang perlu ditutup agar materi internal tidak lagi dapat ditemukan lewat basis data DNS publik.
Komentar
Belum ada komentar.