Un grave problema di riservatezza ha colpito Grok Build, l'agente AI di programmazione lanciato da SpaceX a metà maggio. Come riportato dai ricercatori di Claroc, la funzionalità che permette di condividere le app generate tramite un link ha finito per esporre online i dati di migliaia di utenti, comprese informazioni interne all'azienda di Elon Musk. La scoperta riaccende i riflettori sulla sicurezza degli strumenti di sviluppo basati sull'intelligenza artificiale, già al centro di episodi analoghi con ChatGPT e Muse.
Il difetto che rende i link individuabili
Il meccanismo di condivisione prevede la creazione di URL casuali, pensati per garantire che solo chi conosce l'indirizzo esatto possa accedere al progetto. Tuttavia, la scelta progettuale adottata da SpaceX si è rivelata controproducente. La parte iniziale del link contiene due o più parole casuali, poste alla sinistra del dominio grok.me: una struttura che consente di individuare facilmente gli indirizzi tramite i servizi di DNS passivo, i quali registrano in database pubblici ogni richiesta di risoluzione mai vista prima.
È sufficiente una semplice query del tipo *.grok.me per far emergere gli URL delle app condivise. I ricercatori hanno così individuato 43.601 link, di cui 35.578 risultavano pubblici e quindi accessibili con un semplice clic, rivelando tutti i dati associati alle applicazioni. Tra questi, gli esperti hanno scovato anche 24 app create dai dipendenti di SpaceX contenenti diverse informazioni confidenziali.
La reazione dell'azienda e i nodi aperti
Dopo la segnalazione di Claroc, l'azienda di Elon Musk ha disattivato la condivisione per le proprie 24 applicazioni, mentre tutte le altre restano ancora online. Non è chiaro se gli utenti coinvolti verranno informati dell'accaduto e se SpaceX modificherà in futuro il sistema di generazione degli URL per evitare che l'incidente possa ripetersi.
Il caso solleva interrogativi più ampi sulla progettazione delle piattaforme di sviluppo AI, dove la rapidità di rilascio delle funzionalità rischia di entrare in conflitto con la tutela dei dati. La trasparenza sui tempi e sui modi della correzione sarà determinante per valutare la solidità delle misure adottate dall'azienda.
