روابط المشاركة في Grok Build تكشف آلاف تطبيقات الشركات

يكشف Grok Build، وكيل «البرمجة بالإيحاء» من SpaceXSI (الاسم الذي أُعطي لاندماج سبيس إكس وxAI)، بيانات آلاف المستخدمين، ومنها بيانات الشركة التي تبيعه. ووفق موقع Ars Technica الذي نقل بحثًا لشركة الأمن Claroc، يأتي التسرب من الروابط التي تتيح مشاركة التطبيقات التي يبنيها المستخدمون. أبلغت Claroc شركة SpaceXSI يوم الأحد، ونُشر المقال في 10 نوفمبر 2026.

ما وجدته Claroc

تقول Claroc إن البيانات المكشوفة تشمل خطط أعمال داخلية ومقترحات إعلانية ونتائج فحوص طبية وقوائم مراجعة لأطقم السفن وقوائم موظفين مع أرقام هوياتهم. وتضيف الشركة أن 24 تطبيقًا بنتها SpaceXSI نفسها كانت مفتوحة أيضًا، ومنها خطة تأهيل موسومة بأنها سرية لعضو جديد في فريق مبيعات الشركات، وخريطة مناطق مبيعات تضم 594 حسابًا، وعناوين داخلية لأدوات المبيعات، ومقترحات إعلانية. وكتبت Claroc في منشورها: «لقد صُدمنا».

يورد Ars Technica عدة أمثلة تُنسب إلى ما توصلت إليه Claroc:

• شركة إنشاءات في بيرو: لوحة معلومات للصحة المهنية تتضمن 3784 فحصًا طبيًا للعمال؛
• تسلا: بطاقة أداء لمركز خدمة تسمّي 22 فنيًا مع إنتاجيتهم وحالة مكافآتهم؛
• مقاول يعمل مع البحرية الأمريكية: قائمة من 108 أشخاص؛
• شركة رعاية صحية: تطبيق لموظفي مستشفى يسرد نحو 3565 موظفًا بالاسم والرقم التعريفي؛
• شركة أمريكية لبناء المنازل: قائمة اتصالات تضم نحو 583 مشتريًا محتملًا مع ميزانياتهم وملاحظات التمويل؛
• شركة نقل سيارات: شباك عروض أسعار يضم نحو 4000 طلب نقل مع الأسعار وهوامش الربح.

وتقول Claroc إنها تبلغ الشركات المتضررة. وبعد أن أُطلع مسؤول أمن المعلومات في شركة رحلات بحرية فاخرة على النتائج، استنفرت الشركة فريق الأمن بأكمله، وهي تعمل، بحسب Claroc، على احتواء الانكشاف.

لماذا يمكن إحصاء الروابط

يبدأ كل رابط في Grok Build بكلمتين عشوائيتين أو أكثر، ثم يأتي النطاق grok.me. وتقوم الفكرة، المعروفة باسم التحكم في الوصول القائم على القدرات، على أن معرفة العنوان الدقيق تكفي لمنح الإذن بالوصول، وعلى أن العنوان أطول من أن يُخمَّن. ويشرح Ars Technica أن عبارة من ثلاث كلمات توفر نحو 38 بتًا من الإنتروبيا، أي مليارات التركيبات الممكنة.

ويكمن الخلل، بحسب المقال، في موضع الجزء العشوائي. ففي Grok Build يقع على يسار النطاق، في اسم المضيف. وهذا يتيح لخدمات DNS السلبي، التي تسجل في قاعدة بيانات قابلة للبحث كل اسم تستعلم عنه الخوادم، أن تسرد العناوين. أما روابط Google Docs فتضع السر في المسار، على يمين النطاق، فلا يراه DNS أبدًا. ويقول آساف أبروزبر، المدير التقني في Claroc، إن بحثًا في DNS السلبي أعاد 43601 عنوانًا تنتهي بـ grok.me، فتح أكثر من 35 ألفًا منها، أي نحو 95 في المئة، التطبيق وكل بياناته.

إعدادات افتراضية متنازع عليها ومنصات أخرى

قال ممثل لشركة Cursor، خدمة البرمجة التي استحوذت عليها SpaceXSI مؤخرًا، لـ Ars Technica إن تطبيقات Grok Build «خاصة افتراضيًا» وإن شيئًا لا يصبح عامًا ما لم يشاركه المنشئ. لكن اختبارات أبروزبر خلال الأسبوع الماضي تناقض ذلك: فالرابط مضبوط افتراضيًا على «أي شخص لديه الرابط»، ويجب على المستخدم تغييره إلى «المستخدمون المدعوون» أو «أنت فقط». ولم يرد الممثل على أسئلة المتابعة، ومنها سبب إزالة الروابط بعد رسالة Ars Technica الإلكترونية.

بدأت SpaceXSI إزالة التطبيقات الداخلية الـ24 بعد ساعات من تلك الرسالة، وكانت كلها تعيد خطأ «التطبيق غير موجود» عند نشر المقال. وكان معظم البيانات الأخرى لا يزال متاحًا وقتها. وتضيف Claroc أن Lovable وBolt وReplit تمنح بدورها كل تطبيق عنوان ويب خاصًا به، فتكشفها سجلات DNS نفسها، لكنها تقول إنها وجدت على Grok بفارق كبير أكثر بيانات الشركات حساسية. ويشير Ars Technica إلى أن العناصر المنشورة في Claude والمحادثات المشتركة في ChatGPT وGemini تضع السر في المسار. ويذكّر أيضًا بأن وكيل Muse من ميتا علّق مؤخرًا ميزة مشاركة الروابط بعد تسرب مماثل.

سابقة في يوليو

ليست هذه أول مشكلة خصوصية للأداة. فبحسب The Next Web، نشر باحث معروف باسم cereblab في 12 يوليو تحليلًا يبين أن الإصدار 0.2.93 من أداة سطر الأوامر في Grok Build كان يجمّع مستودعات المطورين المتتبَّعة كاملة، مع سجل Git والأسرار المودَعة فيها، ويرسلها إلى حاوية تخزين سحابية. وكان الحجم، وفق التحليل، أكبر بنحو 27800 مرة مما تتطلبه المهمة. وأكد إيلون ماسك عمليات الرفع وقال إن SpaceXAI ستحذف كل بيانات مستخدمي Grok Build السابقة. ويضيف The Next Web أن أي تدقيق مستقل لم يؤكد الحذف.

ماذا يعني ذلك لشركة عربية

بالنسبة إلى شركة عربية تدع فرقها تبني أدوات داخلية بوكيل ذكاء اصطناعي، الدرس عملي: فقد يكون تطبيق أُنشئ في دقائق عامًا افتراضيًا دون أن يلاحظ أحد. وقبل اعتماد أداة كهذه يحسن التحقق من إعداد المشاركة الافتراضي، والسؤال عما إذا كان يمكن إحصاء الروابط من الخارج، وإبقاء البيانات السرية، مثل قوائم الموظفين وجداول الأسعار وملفات العملاء، بعيدًا عن النماذج الأولية. وتحتاج تصريحات المورّد عن الخصوصية إلى تحقق، كما يبيّن الحادثان، وينبغي تكليف شخص محدد بمراجعة التطبيقات المشاركة ومع من تُشارك. وإذا اشتُبه في انكشاف بيانات موظفين أو بيانات صحية، وجب إبلاغ مسؤول حماية البيانات فورًا.