Компания по информационной безопасности Claroc обнаружила 35 578 работающих приложений, созданных с помощью Grok Build, которые открывались без авторизации. В части из них исследователи нашли внутренние документы, медицинские сведения, другие персональные данные и пароли. Отчёт опубликован 10 ноября 2026 года.
Grok Build позволяет описать программу в чате: ИИ пишет код, а затем размещает готовое приложение на отдельном адресе в домене grok.me. Исследователи проверили 43 551 такой адрес. На момент проверки 37 571 приложение продолжало работать, из них 35 578, или 94,7%, можно было открыть без входа в аккаунт.
Среди найденных приложений было много игр, калькуляторов и простых веб-страниц. Claroc обнаружила корпоративные и персональные данные в открытых приложениях как минимум 30 организаций: список более чем 3 500 сотрудников больничной группы, медицинскую сводку о пациенте интенсивной терапии и пароли сотрудников подрядчика.
Читайте также
Ещё 24 доступных приложения создали сотрудники SpaceXSI, ранее называвшейся xAI, и социальной сети X (заблокирован в РФ). После обращения исследователей компания сняла эти приложения с публикации. По данным Claroc, SpaceXSI не закрыла централизованно приложения других владельцев.
Найти приложения позволяла структура их адресов. Каждому опубликованному сервису назначался отдельный поддомен вида <название>.grok.me. Когда пользователь впервые открывал такой адрес, его имя могло попасть в коммерческие базы пассивного DNS. Эти базы собирают сведения о запросах к доменным именам и позволяют искать все обнаруженные адреса по общему шаблону. Поэтому случайный набор слов в ссылке не обеспечивал её секретность.
Claroc также проверила настройки публикации в своём платном аккаунте. По данным компании, при нажатии Publish заранее предлагался режим «доступ всем, у кого есть ссылка». Пользователь мог заменить его на доступ только для приглашённых или только для себя.
SpaceXSI оспорила такое описание. Представитель компании заявил Ars Technica, что приложения по умолчанию остаются закрытыми и становятся общедоступными только после решения автора поделиться ими. Claroc утверждает, что во время тестов для ограничения доступа требовалось вручную изменить заранее выбранную настройку. Компания не ответила изданию на последующие вопросы о материалах своих сотрудников и возможном уведомлении других владельцев приложений.
Владельцам приложений Grok Build стоит проверить режим доступа и снять с публикации ненужные приложения.
