חוקרי Profero: חולשות אבטחה ב-Grok Bot של xAI, והחברה לא הגיבה

חברת אבטחת המידע הישראלית Profero פרסמה מחקר שמתאר שורה של חולשות אבטחה ב-Grok Bot, סוכן ה-AI של xAI, החברה של אילון מאסק. לפי הדיווח ב-Geektime, החולשות עלולות לאפשר לתוקף להשתלט על סביבת העבודה של הארגון בעזרת פקודה אחת בלבד. לדברי החוקרים, הם דיווחו על הממצאים ל-xAI ול-Cursor כבר בסוף אוגוסט, וקיבלו מענה אוטומטי בלבד או שלא נענו כלל.

פקודה אחת, הרשאות מלאות

לפי המחקר, התשתית של Grok Bot מנוהלת בפועל על ידי Cursor, חברת כלי הפיתוח שנרכשה על ידי SpaceX. החוקרים טוענים שפקודה זדונית אחת שמגיעה לסוכן, למשל באמצעות הזרקת פרומפטים (prompt injection, טכניקה שבה מסתירים הוראות זדוניות בתוכן שהסוכן קורא), מספיקה כדי לקבל הרשאות Root מלאות, כלומר שליטה מלאה במכונה הווירטואלית כולה. מאותו רגע, כך לפי הדוח, התוקף יכול להריץ פקודות ולקרוא קבצים בחשבון הקורבן מכל מחשב בעולם, גם בלי חיבור ישיר לקורבן.

לדברי החוקרים, הנזק מתרחב משום שכל הסוכנים באותו חשבון חולקים משתמש לינוקס אחד ומערכת קבצים משותפת. כך התוקף מקבל גישה לכל מה ש-Grok Bot שמר אי פעם, כולל קוקיז (שמשמשים להתחברות לאתרים), מפתחות API ופרטי גישה לשירותים מחוברים של הארגון כמו מייל ויומן. החוקרים משווים את התוצאה לשילוב של Infostealer (נוזקה לגניבת מידע) ו-rootkit (כלי שמעניק לתוקף שליטה סמויה ומתמשכת במערכת), אלא שאין צורך להתקין שום דבר: כל מה שהתוקף צריך כבר נמצא בסביבה.

טוקן בשם "local"

הדוח מפרט כמה בעיות נוספות:

• טוקן אימות קבוע: טוקן האימות של שירות הרצת הפקודות מוטמע מראש בתוכנה, זהה בכל סביבות העבודה שנבדקו, וערכו הוא המילה "local".
• חולשה שקשה להיפטר ממנה: לפי החוקרים, גם אם ספקית השירות מחליפה טוקנים ומרעננת הרשאות, התוקף יכול ליירט בזמן אמת את פרטי ההתחברות החדשים ולהישאר במערכת.
• דפדפן פתוח: דפדפן Chrome שרץ בתוך הסביבה פועל כברירת מחדל עם ממשק דיבאגינג פתוח וללא אימות, כך שהגישה לקוקיז ולמידע השמור בו ישירה.
• מפתח חתימה חשוף: החוקרים מצאו את המפתח הפרטי שמשמש לחתימה על תוסף הדפדפן של Cursor, וחתמו בעזרתו על גרסה משלהם. גרסה כזו, לדבריהם, יכולה להכיל קוד זדוני.

יותר מחודשיים בלי תיקון

לפי Profero, הממצאים נשלחו ל-xAI ול-Cursor בסוף אוגוסט עם פירוט מלא. מ-Cursor התקבל רק מענה אוטומטי של תוכנית ה-bug bounty שלה (תוכנית שמתגמלת חוקרים על דיווח חולשות), ומ-xAI לא התקבלה תגובה כלל. מאז עברו יותר מחודשיים, ולדברי החוקרים החברות שחררו יותר מ-240 גרסאות (builds) חדשות, אבל אף אחת מהחולשות הקריטיות לא תוקנה. תגובת החברות אינה מופיעה בדיווח.

למה זה חשוב

סוכני AI ארגוניים פועלים בשם המשתמש ומקבלים גישה למייל, ליומן ולשירותים רגישים כדי לבצע משימות. לכן חולשה בתשתית שלהם חמורה יותר מחולשה בצ'טבוט רגיל, שבעיקר מחזיר טקסט. אם ממצאי Profero נכונים, ככל הנראה מדובר בסיכון ממשי לכל ארגון שמחבר את Grok Bot למערכות שלו. השילוב של הזרקת פרומפטים, הרשאות רחבות ומערכת קבצים משותפת מתאר תרחיש שחוקרי אבטחה מזהירים מפניו מאז שסוכנים כאלה התחילו להיכנס לארגונים.

גם הטיפול בדיווח מעורר שאלות. הנוהג המקובל בתעשייה הוא שחברה מאשרת קבלת דיווח על חולשה ומתאמת תיקון מול החוקרים. היעדר תגובה במשך חודשיים מרמז, ככל הנראה, על פער בתהליכי האבטחה סביב המוצר. עד שיגיע תיקון או תגובה רשמית, ארגונים שמשתמשים ב-Grok Bot יעשו טוב אם יבדקו אילו הרשאות ופרטי גישה הסוכן מחזיק.