Grok Build: přes 35 000 aplikací vytvořených AI šlo otevřít bez přihlášení

Bezpečnostní firma Claroc podle Ars Technica zjistila, že sdílené odkazy aplikací z Grok Build odhalují data více než 35 000 aplikací, včetně interních materiálů SpaceXSI.

Grok Build, nástroj, ve kterém lidé nechají AI vytvořit hotovou aplikaci, nechává podle bezpečnostní firmy Claroc veřejně otevřené tisíce vytvořených aplikací. O zjištění píše Ars Technica a další média, informace pocházejí z 11. listopadu 2026. Claroc podle sekundárních zpráv otevřela 35 578 aplikací bez přihlášení a odhaduje, že několik set z nich obsahovalo soukromá data.

Kde je problém? Sdílený odkaz na aplikaci má náhodná slova na levé straně adresy, tedy v subdoméně. Taková adresa se podle zpráv objevuje ve službách passive DNS, které zaznamenávají dotazy na domény, a odkazy proto jde seznamem vyhledat. U služeb, které náhodný řetězec dávají za doménu, tohle vyčíst nejde. Podle popisu výzkumníků mezi odhalenými daty byly obchodní plány, soupisky zaměstnanců a lékařské prohlídky.

Mezi aplikacemi bylo i 24 aplikací zaměstnanců SpaceXSI a X, které firma po upozornění stáhla. Sporné je nastavení sdílení: Claroc tvrdí, že placený účet nabízel předvolbu „kdokoli s odkazem“, zatímco SpaceXSI podle zpráv uvádí, že zaměstnanecké účty mají předvolbu „jen vy“. Nezávislé potvrzení pro jednu nebo druhou verzi jsme nenašli.

Jde o starší, ale dobře známou past: nástroj, který rychle vyrobí aplikaci a nabídne odkaz ke sdílení, dělá z každého zaměstnance někoho, kdo rozhoduje o publikaci. Pokud do takové aplikace někdo vloží zákaznická data, je to z pohledu GDPR stejný problém jako jiný únik osobních údajů.