Una investigación de la empresa de seguridad Claroc identificó 35.578 aplicaciones creadas con Grok a las que se podía acceder sin autenticación, incluidos sistemas con información empresarial confidencial y datos personales. El estudio, publicado el 10 de noviembre, examinó 37.571 aplicaciones aún disponibles en internet, de las cuales el 94,7% permitía acceso sin iniciar sesión.
Entre los materiales encontrados había registros médicos de un paciente en cuidados intensivos, listas de empleados y un sistema de control de horas cuyo código contenía contraseñas almacenadas en texto plano. Claroc estima que 650 a 800 aplicaciones contenían información privada relevante, aunque la mayoría de las direcciones accesibles correspondía a juegos, calculadoras y páginas comunes.
La investigación también identificó 24 aplicaciones publicadas por empleados de SpaceXSI, anteriormente conocida como xAI, y de la red social X. Incluían planes comerciales, propuestas publicitarias confidenciales y un mapa de ventas con información sobre 594 cuentas estratégicas. Según los investigadores, esas aplicaciones fueron retiradas después de que se comunicaron los resultados.
Cómo quedaron accesibles las aplicaciones publicadas con Grok
Los investigadores localizaron las direcciones mediante registros públicos de DNS, que permiten descubrir subdominios utilizados por aplicaciones publicadas. Esto significa que los enlaces podían encontrarse incluso sin haber sido compartidos directamente con quienes accedían a ellos.
En pruebas con dos aplicaciones propias, Claroc comprobó que la opción “Cualquier persona con el enlace” aparecía preseleccionada en la interfaz de publicación de su cuenta de pago. En otra prueba, una aplicación destinada a un equipo permitió que una cuenta de Google no autorizada viera, modificara y eliminara registros.
SpaceXSI cuestionó la interpretación de que las aplicaciones se publicaran automáticamente. La empresa afirmó que la publicación exige varias acciones explícitas del creador y que las cuentas de sus empleados utilizan configuraciones privadas de forma predeterminada.
Claroc reconoció que la publicación depende de una decisión del usuario, pero sostuvo que la configuración de acceso ofrecida durante ese proceso puede dejar información desprotegida.
Los hallazgos no significan que las 35.578 aplicaciones contuvieran datos confidenciales, ni que todas permitieran modificar información. Las pruebas de modificación de registros se realizaron exclusivamente en las aplicaciones creadas por los investigadores.
Hasta la publicación del informe, Claroc había comenzado a notificar a las organizaciones afectadas. No había confirmación de un cambio general en las configuraciones de publicación de Grok.
