وجدت Claroc Research أن 35,578 تطبيقًا من تطبيقات Grok متاحة دون تسجيل الدخول

أفادت Claroc Research في 10 نوفمبر 2026 بأن 35,578 من أصل 37,571 تطبيقًا من تطبيقات Grok التي كانت لا تزال متاحة على الإنترنت وقت الاختبار فُتحت دون تسجيل الدخول، ومن بينها 24 تطبيقًا أنشأها موظفون في SpaceXSI وX. وكشف بحث GhostShares عن مواد سرية تخص شركات وموظفين وأفرادًا في التطبيقات المفتوحة. وتقول Claroc إن المستخدمين ينشئون التطبيقات بوصف ما يريدونه في محادثة، ثم ينشرونها من نافذة المحادثة نفسها؛ وتُظهر لقطة شاشة في التقرير تحديد وضع البناء في Grok.

أعادت التطبيقات الـ1,993 المتبقية أخطاء وصول HTTP 401 مرتبطة بإعدادَي «أنت فقط» أو «المستخدمون المدعوون». وحددت Claroc عدد 43,601 اسمًا ضمن grok.me باستخدام تقنيات شائعة لاكتشاف النطاقات الفرعية. وحمّل الباحثون الصفحات الأولى مرة واحدة من الإنترنت العام دون تسجيل الدخول، ثم راجعوا النسخ المحفوظة دون اتصال.

يحصل كل تطبيق منشور على اسم مضيف خاص به. <name>.grok.me يمكن أن تُغذّي طلبات حلّ هذا الاسم عبر نظام أسماء النطاقات فهارس DNS سلبية قابلة للبحث، تجمع عمليات البحث عن أسماء المضيفين؛ لذا قد تصبح قابلة للبحث حتى العناوين المؤلفة من أربع كلمات عشوائية بعد استخدامها. ولا تكشف الروابط المشتركة التي يظهر فيها المعرّف العشوائي ضمن مسار URL ذلك المعرّف عبر DNS، وإن كان من الممكن أن تكشفه فهرسة محركات البحث وماسحات الروابط.

ما الذي احتوته التطبيقات المفتوحة

اشتملت تطبيقات الموظفين في SpaceXSI، المعروفة سابقًا باسم xAI، وX على خطة سرية لتهيئة موظفي مبيعات الشركات، وخريطة مناطق تغطي 594 حسابًا استراتيجيًا ومسار المبيعات الخاص بها، وثمانية عروض إعلانية وخططًا إعلامية وعروضًا تقديمية لـX. وُجّه أحد العروض إلى وكالة اتحادية أمريكية ووُسِم بأنه سري. كما تتبّع سجل منفصل لحسابات المعلنين التقدم نحو هدف مبيعات قدره 1.6 مليون دولار.

إلى جانب SpaceXSI وX، حددت Claroc بيانات داخلية تخص 30 مؤسسة؛ كان لدى 26 منها أكثر من 1,000 موظف، وكانت ست منها ضمن قائمة Fortune 500. وكانت معظم التطبيقات المفتوحة ألعابًا وصفحات هبوط وآلات حاسبة. وقدّرت Claroc أن ما بين 650 و800 تطبيق احتوى على بيانات خاصة، بعد استخدام نموذج ذكاء اصطناعي لتحديد التطبيقات المحتملة، ومراجعة الصفحات التي أشار إليها يدويًا، والتحقق من أداء النموذج باستخدام عينة عشوائية.

شملت الأمثلة التي تأكد منها الباحثون يدويًا سجلًا قابلًا للبحث لمجموعة مستشفيات يضم أكثر من 3,500 موظف، وإحاطةً عن العناية المركزة تتضمن نتائج الفحوصات والتصوير الطبي وحالة جهاز التنفس الاصطناعي لمريض واحد، ولوحة مناوبات مباشرة لإدارة إطفاء تسرد أسماء رجال الإطفاء وأرقام شاراتهم. كما كشف سجل دوام لمتعاقد عن 18 سجلًا لحسابات موظفين تتضمن كلمات مرور بنص واضح، بما فيها حسابات المسؤولين، ضمن شيفرة برمجية تُنزّلها متصفحات الزوار.

اختبارات النشر وتسجيل الدخول

لاختبار صلاحيات الكتابة والتحقق من التفويض، أنشأت Claroc تطبيقين ببيانات مختلقة. وفي حسابها المدفوع، لم يصبح أي شيء متاحًا للعامة قبل أن ينقر منشئ التطبيق على «نشر»، لكن لوحة الوصول التي ظهرت بعد ذلك كانت تحدد مسبقًا خيار «أي شخص لديه الرابط» إلى جانب خياري «المستخدمون المدعوون» و«أنت فقط».

كان الاختبار الأول لقائمة جهات اتصال مرتبطة بقاعدة بيانات ولا تتطلب تسجيل الدخول. وأصبح السجل الذي أُضيف من نافذة تصفح خفي بعد تسجيل الخروج ظاهرًا للزائر التالي. أما الاختبار الثاني فكان لقائمة عملاء مخصصة لفريق مبيعات من أربعة أشخاص؛ وأضاف Grok إليها زري تسجيل الدخول باستخدام Google وX. وكان الرمز البرمجي يسجّل كل من يسجل الدخول عضوًا في الفريق قبل التحقق من عضويته، ما جعل التحقق ينجح؛ وتمكن حساب Google غير مدعو من الاطلاع على جميع العملاء، وتغيير سجل واحد، وحذف سجل آخر.

تُظهر هذه الاختبارات الفرق بين إمكانية الاطلاع على البيانات علنًا والحماية من تعديلها. وقد يتيح التطبيق المفتوح أيضًا تغيير البيانات إذا لم يشترط تسجيل الدخول أو إذا تحقّق من الهوية دون التحقق من عضوية الفريق، لكن Claroc لم تثبت حالات الإخفاق في الكتابة والتفويض إلا في تطبيقاتها هي. ولم تسجل الدخول إلى تطبيق أي جهة أخرى، أو ترسل إليه نماذج، أو تستدعِ وظائف الخادم فيه، أو تعدّله.

عملت ضوابط الوصول المتاحة عند تفعيلها. فعند تحديد خيار «أنت فقط»، أعاد التطبيق الأول خطأ HTTP 401 لشخص غير مخوّل عند محاولة الوصول إلى كل من صفحته ووظيفة البيانات فيه؛ وأدى إلغاء نشر التطبيق الثاني إلى تعطيل عنوانه خلال ثوانٍ.

الإفصاح ورد SpaceXSI

قالت Claroc إنها أبلغت SpaceXSI في 8 نوفمبر 2026 بخطة تهيئة موظفي المبيعات والعرض الإعلاني، وقدمت أعداد مرات التعرّض والتطبيقين الاختباريين وأربعة إصلاحات مقترحة. وأفادت بأنها أبلغت عن تطبيقات الموظفين الأخرى في 9 نوفمبر 2026. وحتى وقت النشر، كانت SpaceXSI قد أجابت عن أسئلة أحد الصحفيين، لكنها لم ترد مباشرة على التقرير البحثي. وأُزيلت تطبيقات الموظفين بعد صدور التقرير، فيما ظلت تطبيقات مستخدمين آخرين مكشوفة ومتاحة على الإنترنت.

أبلغت SpaceXSI الصحفي بأن التطبيقات تظل خاصة إلى أن يختار منشئوها مشاركتها، وأن النشر يتطلب عدة خطوات، وأن الإعداد الافتراضي لحسابات الموظفين هو «أنت فقط». ويتعلق ما توصلت إليه Claroc بخيار الوصول في حساب مدفوع عادي، حيث كان خيار «أي شخص لديه الرابط» محددًا مسبقًا. ومع ذلك، كانت تطبيقات الموظفين متاحة للعامة، خلافًا للإعداد الافتراضي للموظفين كما وصفته الشركة.

تمثلت التغييرات التي اقترحتها Claroc في وضع التطبيقات المشتركة ضمن مسارات يصعب تخمينها على مضيف موحد، وإضافة إمكانية تقييد المشاركة بنطاق المؤسسة، وجعل خيار «أنت فقط» هو الإعداد الافتراضي مع إظهار الأشخاص الذين يمكنهم فتح التطبيق قبل نشره، وإضافة تحذيرات للتطبيقات المرتبطة بقواعد بيانات التي لا تتطلب تسجيل الدخول، مع إنشاء قائمة بالمستخدمين المدعوين عندما يصف الطلب فريقًا.

بدأت Claroc بنفسها التواصل مع المؤسسات المتضررة، لأن رد SpaceXSI لم يذكر أنها ستُخطر مالكي التطبيقات؛ وكانت Claroc قد راسلت ثلاث مؤسسات عبر البريد الإلكتروني بحلول وقت نشر التقرير. ولم يتضمن التقرير العلني أسماء المضيفين أو عناوين التطبيقات أو روابطها، وقالت Claroc إنها ستحذف النسخ المحفوظة بعد اكتمال الإشعارات.

توسّع النتائج نطاق المخاوف الأمنية إلى ما يتجاوز سرية عناوين URL: فقد أتاح اكتشاف أسماء المضيفين حصر التطبيقات المنشورة، وأظهرت الاختبارات المضبوطة أن شيفرة تسجيل الدخول المُنشأة قد لا تفرض عضوية الفريق، حتى بعد أن يُجري الزائر المصادقة.