C’è chi spende miliardi in R&D e chi, apparentemente, si dimentica di mettere un lucchetto alla porta digitale.
Se pensavate che l’intelligenza artificiale fosse arrivata a un livello di maturità tale da gestire i segreti industriali con la stessa cautela di un archivio offline, lasciate che vi rovini la giornata. Un ricercatore di sicurezza ha appena scoperto che circa 35.00 di applicazioni create tramite Grok Build sono rimaste completamente esposte, letteralmente a portata di click per chiunque avesse la minima curiosità (o la voglia di fare danni).
Parliamo di Grok Build, l’agente AI per il coding che dovrebbe semplificare la vita ai dev. Invece di regalarci solo codice pronto all’uso, sembra che abbia deciso di fare un leak massiccio di informazioni confidenziali. E non parliamo solo di qualche stringa di connessione dimenticata in un file .env o di qualche API key lasciata lì per errore. No, qui siamo alla grande evasione: tra i dati esposti ci sono informazioni che appartengono pure a SpaceX. Sì, avete letto bene. Mentre Elon Musk punta alle stelle, la sicurezza dei suoi asset digitali sembra avere la stessa resistenza di un colino in cucina.
Il problema qui non è solo l’errore del singolo dev che non sa configurare i permessi (cosa che capita, sia per carità, siamo umani), ma l’ecosistema stesso. Quando ti affidi a questi strumenti super-automatizzati che promettono di ‘costruire per te’, c’è il rischio concreto che la comodità diventi il nemico numero uno della sicurezza. È quel classico paradosso per cui, nell’ansia di accelerare il deployment e sbarazzarsi delle noie della configurazione, si finisce per costruire un castello di carta su una fondazione di vetro.
Per noi che siamo abituati a guardare sotto il cofano e a testare ogni singola riga di codice, vedere una tale voragine è frustrante. Non importa quanto sia figa l’automazione o quanto l’AI sembri magica: se il processo di deployment non garantisce l’isolamento dei dati, stiamo solo creando una minaccia su scala industriale. Per fortuna, qui in Italia non abbiamo i segreti di lancio dei razzi di SpaceX da proteggere, ma la lezione è universale: l’hype non deve mai sostituire il buon vecchio controllo granulare degli accessi.
Insomma, un altro esempio di come la corsa all’oro dell’AI stia lasciando dietro di sé una scia di configurazioni sgangherate e dati in bella vista. Speriamo che la prossima patch di Grok Build includa anche un modulo per ‘non lasciare tutto in chiaro’, perché altrimenti l’unica cosa che scriverà sarà un manuale su come fare un data breach perfetto.
Source: Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI