Dari total sebanyak 37.571 aplikasi berbasis Grok yang berhasil ditemukan oleh firma keamanan siber Claroc di jaringan internet, sebanyak 35.578 di antaranya dapat diakses secara bebas oleh siapa saja tanpa memerlukan proses masuk log atau sign-in, demikian diungkapkan oleh para peneliti keamanan tersebut pada hari kemarin.
Daftar temuan tersebut mencakup 24 aplikasi internal yang dirancang langsung oleh para staf di platform media sosial X serta di SpaceXSI, sebuah entitas korporasi teknologi yang mengembangkan asisten kecerdasan buatan Grok. Mayoritas dari aplikasi yang terbuka tersebut berwujud permainan sederhana, halaman arahan promosi atau landing page, serta kalkulator digital, akan tetapi sekitar satu dari sepuluh aplikasi yang terpapar itu memuat data sensitif bisnis perusahaan maupun informasi privat perorangan.
Aplikasi-aplikasi yang dirancang oleh para karyawan tersebut secara gamblang memuat sebuah rencana orientasi penerimaan kerja yang bersifat sangat rahasia bagi posisi penjualan baru, peta pembagian zona penjualan komersial yang merinci sebanyak 594 akun korporasi, serta sebuah draf proposal penawaran iklan platform X kepada sebuah badan instansi federal pemerintah Amerika Serikat yang secara jelas dibubuhi label berstatus rahasia. Pihak SpaceXSI, entitas bisnis yang sebelumnya beroperasi menggunakan identitas komersial xAI, dilaporkan telah segera menghapus dan menarik seluruh 24 aplikasi buatan karyawan internal mereka dari peredaran publik, kendati demikian tindakan penarikan ini belum diberlakukan terhadap aplikasi-aplikasi yang dibangun oleh para pengguna umum lainnya, sebagaimana ditegaskan oleh para investigator keamanan.
Selain keberadaan aplikasi milik staf internal pengembang tersebut, aplikasi-aplikasi yang terekspos tanpa proteksi ini terbukti menyimpan berbagai berkas data operasional milik 30 organisasi eksternal lain yang berhasil diidentifikasi secara valid oleh para periset, dengan spektrum industri berskala luas yang mencakup sektor konstruksi bangunan, energi komersial, layanan medis kesehatan, hingga industri militer dan pertahanan. Dari keseluruhan entitas korporasi yang terdata tersebut, sebanyak 26 perusahaan di antaranya memiliki skala angkatan kerja melebihi angka 1.000 orang karyawan, dan tercatat sebanyak 6 organisasi di antaranya terdaftar secara resmi sebagai entitas korporasi raksasa dalam kelompok Fortune 500.
Berdasarkan kalkulasi dan estimasi mendalam yang dirangkum oleh para analis keamanan dalam dokumen laporan investigasi mereka, kira-kira sebesar 2 persen dari keseluruhan aplikasi yang berstatus terbuka tanpa pengamanan tersebut memuat kompilasi materi dan dokumen informasi yang cukup berbahaya dan bernilai krusial sehingga layak digolongkan ke dalam level bahaya berstatus tinggi (high) maupun kritis (critical).
Materi-materi penting yang terekspos tanpa perlindungan tersebut antara lain mencakup berkas daftar pegawai sebuah grup jaringan rumah sakit yang memuat lebih dari 3.500 data pekerja dan dapat ditelusuri dengan mudah, berkas dokumen pengarahan medis unit perawatan intensif (ICU) yang menyangkut riwayat seorang pasien tunggal, sebuah papan jadwal pergeseran giliran kerja (shift) waktu nyata milik regu pemadam kebakaran, serta lembar absensi kerja milik sebuah perusahaan kontraktor yang di dalam baris kode programnya secara ceroboh menyimpan setiap kata sandi otentikasi milik semua pegawai dalam bentuk teks biasa (plain text) tanpa proses enkripsi.
Sistem kecerdasan buatan Grok sendiri memiliki kapabilitas fungsional untuk membangun sebuah perangkat lunak aplikasi digital yang berfungsi penuh hanya melalui instruksi deskripsi tertulis yang diketikkan pengguna ke dalam ruang obrolan teks percakapan, sebuah fasilitas komputasi yang secara resmi dibuka oleh sang pengembang bagi setiap pengguna dari semua paket langganan Grok mulai tanggal 19 Agustus lalu. Antarmuka pembuat aplikasi berbasis ruang obrolan percakapan ini menyandang identitas nama dagang Grok Build yang serupa dengan perangkat alat pemrograman terminal mandiri yang terpisah, di mana rekam jejak pengunggahan repositori publik alat tersebut sempat diberitakan pada tanggal 14 Juli sebelumnya.
Setiap perangkat lunak aplikasi yang berhasil dipublikasikan bakal secara otomatis memperoleh alamat subdomain eksklusif tersendiri di bawah naungan domain grok.me, dan pihak pembuat aslinya memegang kendali penuh dalam memilih kriteria siapa saja pihak luar yang diizinkan untuk membuka akses terhadapnya, selaras dengan rincian pengumuman resmi saat peluncuran yang dirilis oleh manajemen perusahaan. Tidak akan ada berkas aplikasi yang secara otomatis menjadi terbuka untuk publik luas sampai sang perancang menekan tombol bertuliskan Publish. Di dalam pengujian memakai akun berbayar yang digunakan oleh tim periset, langkah penyiapan lanjutan menyuguhkan 3 opsi konfigurasi tingkat keterbukaan hak akses: "Anyone with the link" (Siapa saja yang memiliki tautan), "Invited users" (Pengguna yang diundang secara khusus), serta "Only you" (Hanya diri Anda sendiri). Pada antarmuka bawaan sistem tersebut, opsi pilihan "Anyone with the link" ternyata sudah terpilih secara baku atau otomatis.
Pengaturan konfigurasi baku tersebut memegang peranan krusial yang sangat berbahaya karena pada dasarnya sebuah tautan alamat aplikasi web tidak akan pernah dapat disembunyikan secara rahasia, demikian penjelasan dari para peneliti keamanan. Tindakan ketika seseorang mengunjungi sebuah aplikasi secara teknis akan memaksa perangkat komputer milik pengguna tersebut untuk melakukan kueri pencarian alamat subdomain aplikasi itu ke dalam sistem peladen DNS. Layanan penelusuran DNS pasif (Passive DNS) secara berkala merekam aktivitas lalu lintas kueri semacam itu, dan pihak mana pun yang memiliki akun keanggotaan dapat menyisir serta menelusuri pangkalan data tersebut berdasarkan pola struktur nama domain tertentu.
Sistem Grok pada dasarnya merekomendasikan kombinasi 4 kata acak sebagai penamaan otomatis bagi masing-masing domain aplikasi, dan diperkirakan sekitar separuh dari nama-nama domain unik yang diidentifikasi oleh para analis keamanan mengikuti skema formulasi nama tersebut. Struktur nama yang sangat acak memang membuat alamat situs sangat sulit ditebak secara langsung, akan tetapi karakteristik tersebut sama sekali tidak sanggup memberikan proteksi memadai bagi aplikasi yang nama alamat domainnya sudah tersimpan di dalam catatan publik DNS yang bisa dicari secara bebas.
Fitur generator pembuat aplikasi milik ChatGPT secara teknis juga menempatkan setiap program aplikasi mandiri ke dalam alamat subdomain privat tersendiri. Namun demikian, tatkala para analis membagikan rancangan aplikasi di platform ChatGPT, konfigurasi aksesnya secara baku disetel pada tingkat "Only me" sampai sang pembuat memutuskan untuk mengubahnya sendiri. Alamat tautan dari aplikasi ChatGPT yang terekam di dalam kueri data pencarian DNS hanya akan mengarah pada sebuah aplikasi yang secara ketat cuma dapat diakses oleh pemilik resminya saja, jelas para peneliti.
Para analis riset keamanan menemukan nama-nama dari aplikasi Grok tersebut melalui penerapan metodologi standar yang lazim dipakai untuk penemuan subdomain di internet, lalu memuat halaman beranda pertama dari setiap aplikasi tersebut sebanyak satu kali percobaan saja, secara murni tanpa perlu melalui prosedur masuk log atau login. Demi membuktikan perlindungan pertahanan mandiri apa saja yang secara default diterapkan oleh sistem Grok, para peneliti sengaja membangun 2 aplikasi percontohan berbasis data rekayasa fiktif dan memublikasikan keduanya memakai setelan hak akses yang telah terpilih secara baku, yakni "Anyone with the link".
Aplikasi percobaan pertama yang berupa direktori daftar kontak langsung memperoleh pangkalan data terhubung tanpa adanya gerbang login autentikasi. Tanpa perlu melakukan login ke sistem, para peneliti secara leluasa mampu menambahkan baris rekaman data baru melalui jendela peramban pribadi penyamaran (incognito), dan pengguna berikutnya yang mengunjungi aplikasi seketika dapat melihat baris entri data baru tersebut.
Aplikasi percobaan kedua, yang dirancang berupa daftar klien konsumen untuk tim penjualan beranggotakan 4 individu, dibekali dengan modul tombol autentikasi masuk log yang ditambahkan secara otomatis oleh sistem kecerdasan buatan Grok, bertuliskan: "Continue with Google" dan "Continue with X". Akan tetapi, struktur logika pemrograman yang disusun oleh algoritma Grok ternyata memprogram sistem untuk langsung menambahkan setiap akun pengunjung yang masuk log menjadi bagian dari anggota tim inti sebelum mekanisme sistem sempat memverifikasi apakah akun tersebut benar-benar memiliki hak kepemilikan, sehingga proses verifikasi hak akses tersebut secara keliru selalu berhasil lolos. Sebuah akun layanan Google asing yang tidak pernah diundang dan merupakan milik pihak di luar pemilik aplikasi berhasil menembus barikade sistem, membaca rincian profil setiap pelanggan yang tersimpan, mengubah salah satu data entri catatan, serta menghapus rekaman data pelanggan lainnya secara penuh.
Tim peneliti keamanan hanya menerapkan serangkaian uji coba manipulasi ini secara eksklusif terhadap program aplikasi eksperimen buatan internal mereka sendiri semata. Para periset sama sekali tidak mencoba melakukan eksperimen apakah puluhan ribu aplikasi terbuka milik pengguna lain yang mereka temukan di internet tersebut juga rentan menerima modifikasi data semacam itu. Pihak periset telah secara resmi melaporkan temuan masalah keamanan siber ini kepada korporasi SpaceXSI pada hari Minggu lewat jalur kontak surel yang tercantum di dalam berkas deklarasi security.txt milik korporasi, termasuk membeberkan 2 aplikasi milik staf mereka. Sebanyak 22 aplikasi staf lainnya kemudian dilaporkan secara terpisah pada hari Senin berikutnya.
Hingga laporan investigasi ini dirilis secara terbuka kepada masyarakat pada hari kemarin, manajemen korporasi belum melayangkan surat jawaban atau balasan resmi atas berkas laporan masalah yang diajukan para analis, meski mereka tercatat sempat meladeni sejumlah pertanyaan yang diajukan oleh seorang jurnalis peliput terkait riset keamanan tersebut. Sebagaimana diuraikan dalam paparan tim analis, pihak perusahaan menegaskan bahwa seluruh aplikasi Grok pada dasarnya akan senantiasa berstatus tertutup dan privat sampai pihak pembuatnya secara sadar memutuskan untuk membagikannya ke luar. Prosedur publikasi membutuhkan serangkaian langkah konfirmasi, termasuk memilih opsi antara setelan "Only you" atau "Anyone with the link," berikut keharusan menyetujui pernyataan sanggahan hukum (disclaimer). Akun-akun yang terdaftar milik karyawan internal secara baku disetel pada tingkat proteksi "Only you" sejak awal pembuatan.
Kendati demikian, sebanyak 24 aplikasi yang dibangun secara langsung oleh staf internal di perusahaan pembuat maupun staf di platform X tetap ditemukan terbuka bebas dan dapat diakses siapa pun tanpa kendala keamanan, tegas para peneliti. Melalui laporan analisisnya, para peneliti telah mengajukan permohonan agar pihak perusahaan menetapkan opsi pengaturan "Only you" sebagai opsi konfigurasi bawaan mutlak bagi seluruh pengguna, serta mengimplementasikan fitur pembatasan hak akses yang sanggup mengunci jangkauan aplikasi hanya kepada domain surel internal korporasi pembuat.
Tanggapan dan penjelasan yang dilayangkan oleh korporasi tidak memuat kejelasan komitmen bahwa mereka bakal mengambil inisiatif untuk menghubungi para pemilik puluhan ribu aplikasi terbuka lainnya yang terdampak, menurut penuturan para peneliti. Mengantisipasi risiko tersebut, para analis telah mengambil langkah mandiri dengan mengirimkan surel pemberitahuan secara langsung kepada organisasi-organisasi yang terdampak, di mana sebanyak 3 institusi telah berhasil dikirimi peringatan hingga laporan dirilis. Seluruh alamat web serta judul identitas aplikasi sengaja disensor dan dirahasiakan oleh periset demi menjaga kerahasiaan keamanan informasi di dalam dokumen laporan publikasi mereka.
Pada tanggal 18 Oktober sebelumnya, kelompok peneliti yang sama juga sempat memublikasikan kajian komparatif terhadap asisten AI Muse milik raksasa teknologi Meta, yang memperlihatkan bahwa halaman-halaman yang dibagikan dari agen AI Muse ternyata dapat terlacak melalui sistem pemantau DNS pasif. Merespons temuan riset itu, Meta segera menonaktifkan fitur berbagi, kemudian secara terbuka mengumumkan peluncuran pembaruan perbaikan sistem berbagi pada tanggal 22 Oktober dengan memberikan pengalamatan tautan baru bagi setiap dokumen yang dibagikan.
Berdasarkan rangkaian tahapan pengujian yang dijalankan oleh para peneliti dari firma Claroc, tindakan mengubah pengaturan keamanan aplikasi ke tingkat "Only you" terbukti secara konsisten memicu kemunculan respons galat status 401 Unauthorized bagi pihak luar atau pengguna asing yang mencoba membuka laman maupun datanya, sedangkan langkah mencabut publikasi (unpublish) sukses mematikan serta menghapus aplikasi dari akses publik internet hanya dalam hitungan detik.