Die Grok-Plattform von X (ehemals Twitter) ermöglicht es Nutzern, KI-generierte Anwendungen zu erstellen und zu teilen. Ein Sicherheitsaudit deckte nun ein erhebliches Datenschutzproblem auf: Tausende dieser Apps waren nicht ordnungsgemäss gesichert und für beliebige Fremde einsehbar.
Besonders problematisch ist die Art der Daten, die Sicherheitsforscher fanden. Sie stiessen auf vertrauliche Informationen von bekannten Unternehmen, darunter etwa die Raumfahrtfirma SpaceX und weitere Organisationen. Geschäftsgeheimnisse, interne Dokumentation, Konfigurationsdaten und persönliche Informationen waren damit der Öffentlichkeit ausgesetzt.
Das eigentliche Problem liegt in der Sicherheitsarchitektur: Die Grok-Apps speicherten häufig Kontextdaten und Eingaben lokal, ohne dass angemessene Zugriffskontrollmechanismen eingebaut waren. Nutzer, die in ihren Apps sensitive Daten verarbeiteten (etwa Kundenlisten oder Finanzdaten), wussten wahrscheinlich nicht, dass diese öffentlich lesbar sind. Dies ist ein klassisches Beispiel für „Security by Default" versus „Security by Design": Die Plattform hätte von Anfang an sicherstellen müssen, dass Apps privat sind, sofern der Nutzer nicht ausdrücklich das Gegenteil wählt.
Für Unternehmen ist dies eine wichtige Lektion: KI-Tools und Cloud-Plattformen erfordern sorgfältige Sicherheitsüberprüfungen, bevor sensitive Daten eingegeben werden. KMU sollten vor der Nutzung neuer KI-Services immer klären, wie Daten gespeichert, wer Zugriff hat, und welche Datenschutzrichtlinien gelten. Regelmässige Audits und Privacy-Reviews sind notwendig, um solche Lecks zu vermeiden.