Redazione RHC : 7 Maggio 2025 06:36
Secondo il giornalista investigativo Brian Krebs, un dipendente di xAI ha pubblicato accidentalmente una chiave privata su GitHub. Per due mesi, la chiave è rimasta disponibile, consentendo a chiunque di interrogare modelli linguistici di grandi dimensioni (LLM) privati che sembrano essere stati creati appositamente per gestire dati interni delle aziende di Elon Musk, tra cui SpaceX, Tesla e X.
La fuga di notizie è stata notata e resa pubblica per la prima volta dallo specialista di Seralys Philippe Caturegli, che ha scoperto che un dipendente di xAI aveva pubblicato accidentalmente la chiave API di x.ai su GitHub.
Il messaggio ha attirato l’attenzione dei ricercatori di GitGuardian, un’azienda specializzata nel rilevamento e nella riparazione di fughe di notizie segrete in ambienti pubblici e proprietari. Ad esempio, i sistemi GitGuardian analizzano costantemente GitHub e altri repository alla ricerca di divulgazioni di chiavi API e inviano avvisi automatici alle vittime.
PARTE LA PROMO ESTATE -40%
RedHotCyber Academy lancia una promozione esclusiva e a tempo limitato per chi vuole investire nella propria crescita professionale nel mondo della tecnologia e della cybersecurity!
Approfitta del 40% di sconto sull’acquisto congiunto di 3 corsi da te scelti dalla nostra Academy. Ad esempio potresti fare un percorso formativo includendo Cyber Threat intelligence + NIS2 + Criptovalute con lo sconto del 40%. Tutto questo lo potrai fruire, dove e quando vuoi e con la massima flessibilità, grazie a lezioni di massimo 30 minuti ciascuna.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Eric Fourrier di GitGuardian ha detto a Krebs che la chiave API trapelata, ha dato accesso a diversi modelli privati del chatbot Grok. In totale, GitGuardian ha scoperto che la chiave forniva l’accesso ad almeno 60 LLM personalizzati e privati.
“Le credenziali potrebbero essere state utilizzate per accedere all’API X.ai con l’identità dell’utente”, riporta GitGuardian. “L’account associato aveva accesso non solo ai modelli Grok pubblici (grok-2-1212, ecc.), ma anche a quelli non ancora rilasciati (grok-2.5V), in fase di sviluppo (research-grok-2p5v-1018) e privati (tweet-rejector, grok-spacex-2024-11-04).”
Fourie ha affermato che GitGuardian aveva avvisato un dipendente di xAI della fuga di notizie sulla chiave API quasi due mesi fa, il 2 marzo 2025. Tuttavia, al 30 aprile 2025, quando l’azienda ha informato direttamente il team di sicurezza di xAI della divulgazione della chiave, questa era ancora valida e utilizzabile. xAI ha incoraggiato i ricercatori a segnalare il problema tramite il programma bug bounty su HackerOne, ma nel giro di poche ore il repository con la chiave esposta è stato rimosso da GitHub.
“Sembra che alcuni di questi LLM interni siano stati addestrati sui dati di SpaceX e altri sui dati di Tesla”, afferma Fourrier. “Non credo che il modello Grok, basato sui dati di SpaceX, fosse destinato all’accesso pubblico.”
Gli esperti scrivono che l’accesso gratuito agli LLM privati potrebbe trasformarsi in un vero disastro. Dopotutto, un aggressore che ottiene l’accesso diretto al backend di un modello come Grok può utilizzarlo per attacchi successivi. Ad esempio, un hacker potrebbe utilizzare l’accesso ottenuto per eseguire iniezioni rapide, modificare i parametri del modello per i propri scopi o tentare di iniettare codice nella catena di fornitura.
I rappresentanti di xAI non hanno risposto alla richiesta di commento di Brian Krebs. Anche il tecnico 28enne di xAI che ha fatto trapelare la chiave non ha risposto al giornalista.
RedazioneGiovedì 16 luglio è stata una giornata significativa per i ricercatori di sicurezza informatica del team italiano Red Team Research (RTR) di TIM, che ha visto pubblicate cinque nuove vulnera...
Una falla critica nella sicurezza, relativa alla corruzione della memoria, è stata individuata nel noto software di archiviazione 7-Zip. Questa vulnerabilità può essere sfruttata da mal...
Una campagna di attacchi informatici avanzati è stata individuata che prende di mira i server Microsoft SharePoint. Questa minaccia si avvale di una serie di vulnerabilità, conosciuta come &...
La presentazione del Walker S2 rappresenta un importante passo avanti nell’autonomia operativa dei robot umanoidi. Grazie alla capacità di sostituire autonomamente la propria batteria, il ...
Secondo quanto riportato da Fast Technology il 18 luglio, Jen-Hsun Huang ha raccontato ai media cinesi le proprie origini, spiegando di essere nato cinese e poi diventato sinoamericano. Ha sottolineat...
Iscriviti alla newsletter settimanale di Red Hot Cyber per restare sempre aggiornato sulle ultime novità in cybersecurity e tecnologia digitale.
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
