Досье doge-xai-api-key-leakУтечка модели и данныхСША
Сотрудник DOGE Марко Элез допустил утечку API-ключа xAI, дающего доступ к 52 моделям Grok
Марко Элез, сотрудник DOGE с доступом к чувствительным федеральным базам данных, закоммитил скрипт с приватным API-ключом xAI в публичный GitHub; исследователи установили, что он открывал доступ как минимум к 52 моделям xAI и оставался действительным после удаления репозитория.
ВысокаяАтака на ИИСтатус: УстранёнПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 14 июл. 2025
- Локация
- США
- Цель
- Приватные LLM xAI, включая grok-4-0709
- Критичность
- Высокая
- Инициатор
- Марко Элез (DOGE); обнаружено GitGuardian и Филиппом Катурегли
- Тип субъекта
- Случайность / ошибка конфигурации
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
Марко Элез, сотрудник DOGE с доступом к чувствительным федеральным базам данных, закоммитил скрипт с приватным API-ключом xAI в публичный GitHub; исследователи установили, что он открывал доступ как минимум к 52 моделям xAI и оставался действительным после удаления репозитория.
Последствия: Доступ как минимум к 52 LLM xAI, включая только что созданный Grok 4, под учётными данными государственного разработчика; свидетельств злоупотребления не опубликовано
Кто стоит за инцидентом
Субъект: Марко Элез (DOGE); обнаружено GitGuardian и Филиппом Катурегли
Атрибуция: Случайный коммит Элеза, подтверждённый сканированием секретов GitGuardian и Филиппом Катурегли (Seralys); вторая подобная утечка ключа xAI за три месяца
Мотив: Отсутствует; случайное раскрытие секрета
Как это произошло
Вектор атаки: Приватный API-ключ xAI, встроенный в agent.py и отправленный в публичный репозиторий GitHub
Первопричина: Нарушение гигиены учётных данных пользователем с привилегированным доступом к государственным данным; отсутствие автоматического отзыва ключа после раскрытия
Хронология
- Создана новейшая из раскрытых моделей grok-4-0709
- Элез коммитит agent.py с приватным ключом xAI в GitHub
- Кребс сообщает об утечке; репозиторий удалён, но ключ по-прежнему работает и не отозван
Реагирование
Репозиторий удалён после того, как Катурегли связался с Элезом; ни Элез, ни xAI не дали комментариев; исследователи поставили под сомнение обращение DOGE с гораздо более чувствительными данными
Текущий статус: Устранён
Источники (открываются в новой вкладке)
- KrebsOnSecurity krebsonsecurity.com
- TechRadar techradar.com
- Quartz qz.com
Цитировать это досье
Сотрудник DOGE Марко Элез допустил утечку API-ключа xAI, дающего доступ к 52 моделям Grok. AI Threat Watch, досье doge-xai-api-key-leak, 14 июл. 2025. https://aithreat.io/ru/cases/doge-xai-api-key-leak/
Постоянная ссылка: https://aithreat.io/ru/cases/doge-xai-api-key-leak/