AppSec · 1 giorno fa
Claroc ha individuato circa 35.000 app create con Grok Build raggiungibili tramite link condivisi; 24 appartenevano a SpaceXSI e contenevano dati interni. SpaceXSI ha rimosso i propri link solo dopo le domande di Ars Technica.
Gli URL erano casuali e sembravano riservati, ma una falla permetteva di individuare sistematicamente quelli ancora attivi. Di norma, aprendo un link si vedevano l’app e i dati associati senza autenticazione aziendale: tra i contenuti c’erano piani commerciali, indirizzi di strumenti interni e dati personali.
La rimozione delle app di SpaceXSI non ha chiuso l’esposizione delle altre. Le fonti non chiariscono se i dati siano stati consultati o copiati. Per Grok Build e strumenti simili, un link difficile da indovinare non è un confine di accesso: i dati inseriti nelle app possono restare raggiungibili senza passare dall’autenticazione aziendale.
2 fonti che coprono questa storia
Over 35,000 Grok-Built Apps Exposed Online, Some Leaking Confidential Data and Passwords
Researchers found 35,578 Grok-built apps accessible without sign-in, exposing internal data from X, SpaceXSI, and 30 other organizations.
Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI
Researcher finds 35,000 Grok Build apps wide open to anyone who looked for them.
Part of the PlainSec briefing for 2026-11-12