Uma investigação da empresa de segurança Claroc identificou 35.578 aplicativos criados com Grok que podiam ser acessados sem autenticação, incluindo sistemas com informações empresariais confidenciais e dados pessoais. O levantamento, publicado em 10 de novembro, examinou 37.571 aplicações ainda disponíveis na internet, das quais 94,7% permitiam acesso sem login.
Entre os materiais encontrados estavam registros médicos de um paciente em terapia intensiva, listas de funcionários e um sistema de controle de horas cujo código continha senhas armazenadas em texto simples. A Claroc estima que 650 a 800 aplicativos apresentavam informações privadas relevantes, embora a maioria dos endereços acessíveis correspondesse a jogos, calculadoras e páginas comuns.
A investigação também identificou 24 aplicativos publicados por funcionários da SpaceXSI, anteriormente conhecida como xAI, e da rede social X. Eles incluíam planos comerciais, propostas publicitárias confidenciais e um mapa de vendas com informações sobre 594 contas estratégicas. Segundo os pesquisadores, essas aplicações foram retiradas do ar após a comunicação dos resultados.
Como aplicativos publicados com Grok ficaram acessíveis
Os investigadores localizaram os endereços por meio de registros públicos de DNS, que permitem descobrir subdomínios utilizados por aplicações publicadas. Isso significa que os links podiam ser encontrados mesmo sem terem sido compartilhados diretamente com quem os acessava.
Em testes com dois aplicativos próprios, a Claroc constatou que a opção “Qualquer pessoa com o link” aparecia pré-selecionada na interface de publicação de sua conta paga. Em outro teste, um aplicativo destinado a uma equipe permitiu que uma conta Google não autorizada visualizasse, alterasse e excluísse registros.
A SpaceXSI contestou a interpretação de que os aplicativos fossem publicados automaticamente. A empresa afirmou que a publicação exige várias ações explícitas do criador e que as contas de seus funcionários utilizam configurações privadas por padrão.
A Claroc reconheceu que a publicação depende de uma decisão do usuário, mas argumentou que a configuração de acesso oferecida durante esse processo pode deixar informações desprotegidas.
As descobertas não significam que os 35.578 aplicativos continham dados confidenciais, nem que todos permitiam modificar informações. Os testes de alteração de registros foram realizados exclusivamente nas aplicações criadas pelos pesquisadores.
Até a publicação do relatório, a Claroc havia começado a notificar organizações afetadas. Não havia confirmação de uma mudança geral nas configurações de publicação do Grok.
