La compañía de inteligencia artificial de Elon Musk, Xai, se ha sometido a un gran lapso de seguridad. Allí, los desarrolladores dejaron accidentalmente las claves de API privadas de GitHub accesibles durante dos meses.
Las credenciales expuestas proporcionaron acceso no autorizado a modelos de lenguaje privados a gran escala (LLM) ajustados específicamente a las operaciones internas de SpaceX, Tesla y Twitter/X, destacando vulnerabilidades importantes en las prácticas de seguridad de las credenciales, incluso en compañías de tecnología de alto perfil.
El incidente de seguridad fue descubierto por primera vez por Philippe Cathergli, director de piratería del consultor de seguridad Theraris, quien publicó una fuga de LinkedIn.
La tecla API XAI filtrada permaneció activa durante varias semanas
Gitguardian, una compañía especializada en detectar secretos expuestos en repositorios de código, ha investigado el problema.
El sistema de escaneo automatizado, que monitorea continuamente GitHub y monitorea continuamente las credenciales confidenciales, ha identificado la clave API que se vio comprometida el 2 de marzo de 2025.
Krebsonsecurity informa que a pesar de la notificación inmediata de los empleados de XAI responsables de la filtración, la clave API permaneció activa y disponible hasta el 30 de abril, cuando el problema se intensificó directamente a los equipos de seguridad de XAI.
Según Eric Fourrier de Gitguardian, la compañía descubrió que “las claves pueden acceder al menos a 60 conjuntos de datos diferentes”.
Las credenciales de API filtradas podrían haberse utilizado para consultar modelos privados de capacitación personalizada como “Grok-2.5V” (inédito), “Investigación-GROK-2P5V-1018” (desarrollado) y “Grok-SPAX-2024-11-04” (privado).
Estos modelos parecen haber sido modificados especialmente para procesar datos internos de la red corporativa de Musk.
“Las cuentas relacionadas tienen acceso no solo a modelos públicos de Grok, sino también a modelos inéditos, desarrollados y privados”, dijo Gitguardian en una comunicación con Xai.
La fuga ocurrió a través del archivo variable de entorno (.env).
Este tipo de violación de seguridad generalmente ocurre cuando un desarrollador incluye accidentalmente credenciales en un repositorio.
Como un desarrollador explicó en su discusión sobre incidentes, “el desarrollador ejecuta el comando Git Agregar sin verificar nada, no agrega nada al archivo ignorado, y muchas claves se empujan constantemente a Github”.
Xai no proporcionó comentarios públicos sobre el incidente, y el repositorio que contiene la clave se eliminó poco después de la notificación al equipo de seguridad de Gitguardian.
Cathergli dijo que “las exposiciones de calificación de larga duración enfatizan que la gestión clave es un monitoreo interno débil e insuficiente y plantea preguntas sobre la protección del acceso del desarrollador y la seguridad operativa más amplia”.
El incidente sirve como un recordatorio estricto de la importancia de las sólidas prácticas de gestión secreta, incluso las compañías de IA de vanguardia, donde las empresas de IA de vanguardia procesan sus propios datos confidenciales.
¡Haz que esta noticia sea interesante! Siga en Google News, LinkedIn, X para obtener actualizaciones instantáneas
