Η έρευνα της Claroc εντοπίζει 35.578 εφαρμογές Grok προσβάσιμες χωρίς σύνδεση

Στις 10 Νοεμβρίου 2026, η Claroc Research ανέφερε ότι 35.578 από τις 37.571 εφαρμογές Grok που ήταν ακόμη online κατά τον έλεγχο άνοιγαν χωρίς σύνδεση, μεταξύ των οποίων και 24 που είχαν δημιουργήσει στελέχη της SpaceXSI και της X. Η έρευνα GhostShares εντόπισε εμπιστευτικό εταιρικό υλικό, στοιχεία εργαζομένων και προσωπικές πληροφορίες στις εφαρμογές που ήταν προσβάσιμες. Σύμφωνα με την Claroc, οι χρήστες δημιουργούν τις εφαρμογές περιγράφοντάς τες σε μια συνομιλία και τις δημοσιεύουν από το ίδιο παράθυρο συνομιλίας· σε στιγμιότυπο οθόνης της αναφοράς εμφανίζεται επιλεγμένη η λειτουργία Build του Grok.

Οι υπόλοιπες 1.993 εφαρμογές επέστρεφαν σφάλματα πρόσβασης HTTP 401, τα οποία συνδέονταν με τις ρυθμίσεις «Μόνο εσείς» ή «Προσκεκλημένοι χρήστες». Η Claroc εντόπισε 43.601 ονόματα κάτω από το grok.me, χρησιμοποιώντας συνήθεις τεχνικές εντοπισμού υποτομέων. Οι ερευνητές φόρτωσαν μία φορά τις αρχικές σελίδες από το δημόσιο διαδίκτυο, χωρίς να συνδεθούν, και εξέτασαν εκτός σύνδεσης τα αποθηκευμένα αντίγραφα.

Κάθε δημοσιευμένη εφαρμογή αποκτά το δικό της <name>.grok.me όνομα κεντρικού υπολογιστή. Τα αιτήματα επίλυσης αυτού του ονόματος μέσω του Συστήματος Ονομάτων Τομέων (DNS) μπορούν να τροφοδοτήσουν αναζητήσιμα ευρετήρια παθητικού DNS, τα οποία συλλέγουν αναζητήσεις ονομάτων κεντρικών υπολογιστών. Έτσι, ακόμη και διευθύνσεις που αποτελούνται από τέσσερις τυχαίες λέξεις μπορούν να γίνουν αναζητήσιμες μετά τη χρήση τους. Οι κοινόχρηστοι σύνδεσμοι των οποίων το τυχαίο αναγνωριστικό βρίσκεται στη διαδρομή URL δεν αποκαλύπτουν αυτό το αναγνωριστικό μέσω DNS, αν και η ευρετηρίαση από μηχανές αναζήτησης και οι σαρωτές συνδέσμων μπορούν και πάλι να το αποκαλύψουν.

Τι περιείχαν οι εφαρμογές που ήταν προσβάσιμες

Οι εφαρμογές εργαζομένων στη SpaceXSI, πρώην xAI, και στην X περιλάμβαναν ένα εμπιστευτικό σχέδιο ένταξης για τις εταιρικές πωλήσεις, έναν χάρτη περιοχών που κάλυπτε 594 στρατηγικούς λογαριασμούς και το εμπορικό τους χαρτοφυλάκιο, καθώς και οκτώ διαφημιστικές προτάσεις, σχέδια μέσων και παρουσιάσεις της X. Μία πρόταση απευθυνόταν σε ομοσπονδιακή υπηρεσία των ΗΠΑ και έφερε την ένδειξη «Εμπιστευτικό». Ένας ξεχωριστός πίνακας λογαριασμών διαφημιζομένων παρακολουθούσε την πρόοδο προς τον στόχο πωλήσεων των 1,6 εκατομμυρίων δολαρίων.

Πέρα από τη SpaceXSI και την X, η Claroc εντόπισε εσωτερικά δεδομένα από 30 οργανισμούς: 26 είχαν περισσότερους από 1.000 εργαζομένους και έξι ήταν εταιρείες του Fortune 500. Οι περισσότερες εφαρμογές που ήταν προσβάσιμες ήταν παιχνίδια, σελίδες προορισμού και αριθμομηχανές. Η Claroc εκτίμησε ότι 650 έως 800 εφαρμογές περιείχαν ιδιωτικά δεδομένα, αφού χρησιμοποίησε ένα μοντέλο τεχνητής νοημοσύνης για να επισημάνει πιθανές περιπτώσεις, εξέτασε χειροκίνητα τις σελίδες που επισημάνθηκαν και έλεγξε το μοντέλο σε ένα τυχαίο δείγμα.

Στα παραδείγματα που επιβεβαιώθηκαν χειροκίνητα περιλαμβάνονταν ένας αναζητήσιμος κατάλογος περισσότερων από 3.500 εργαζομένων ενός ομίλου νοσοκομείων, μια ενημέρωση μονάδας εντατικής θεραπείας με τις εργαστηριακές εξετάσεις, τις απεικονιστικές εξετάσεις και την κατάσταση αναπνευστήρα ενός ασθενούς, καθώς και ένας ζωντανός πίνακας βαρδιών πυροσβεστικής υπηρεσίας με τα ονόματα και τους αριθμούς ταυτοποίησης των πυροσβεστών. Το φύλλο ωρών εργασίας ενός εργολάβου αποκάλυπτε επίσης στοιχεία 18 λογαριασμών εργαζομένων με κωδικούς πρόσβασης σε απλό κείμενο, μεταξύ των οποίων και λογαριασμούς διαχειριστών, μέσα σε κώδικα σεναρίου που κατέβαζαν τα προγράμματα περιήγησης των επισκεπτών.

Έλεγχοι δημοσίευσης και σύνδεσης

Για να εξετάσει τα δικαιώματα εγγραφής και την εξουσιοδότηση, η Claroc δημιούργησε δύο εφαρμογές με επινοημένα δεδομένα. Στον επί πληρωμή λογαριασμό της, τίποτα δεν γινόταν δημόσιο πριν ο δημιουργός πατήσει «Δημοσίευση». Ωστόσο, στο πλαίσιο πρόσβασης που εμφανιζόταν στη συνέχεια ήταν προεπιλεγμένη η επιλογή «Οποιοσδήποτε διαθέτει τον σύνδεσμο», μαζί με τις επιλογές «Προσκεκλημένοι χρήστες» και «Μόνο εσείς».

Η πρώτη δοκιμή αφορούσε μια λίστα επαφών με βάση δεδομένων και χωρίς σύνδεση. Μια εγγραφή που προστέθηκε από παράθυρο ανώνυμης περιήγησης χωρίς σύνδεση ήταν ορατή στον επόμενο επισκέπτη. Για τη δεύτερη δοκιμή, η οποία αφορούσε λίστα πελατών προορισμένη για ομάδα πωλήσεων τεσσάρων ατόμων, το Grok πρόσθεσε κουμπιά σύνδεσης μέσω Google και X. Ο κώδικάς του καταχωρούσε ως μέλος της ομάδας όποιον συνδεόταν, προτού ελέγξει αν ήταν μέλος, με αποτέλεσμα ο έλεγχος να περνά. Ένας λογαριασμός Google που δεν είχε προσκληθεί είδε όλους τους πελάτες, τροποποίησε μία εγγραφή και διέγραψε μια άλλη.

Οι δοκιμές αυτές διαχωρίζουν τη δημόσια δυνατότητα ανάγνωσης από την προστασία των εγγραφών. Μια εφαρμογή που είναι ανοιχτή μπορεί επίσης να επιτρέπει αλλαγές στα δεδομένα, αν δεν απαιτεί σύνδεση ή αν επαληθεύει την ταυτότητα χωρίς να ελέγχει τη συμμετοχή στην ομάδα. Ωστόσο, η Claroc κατέδειξε αυτές τις αδυναμίες εγγραφής και εξουσιοδότησης μόνο στις δικές της εφαρμογές. Δεν συνδέθηκε σε εφαρμογές άλλων, δεν υπέβαλε φόρμες, δεν κάλεσε λειτουργίες διακομιστή και δεν τροποποίησε καμία από αυτές.

Οι διαθέσιμοι έλεγχοι λειτουργούσαν όταν ενεργοποιούνταν. Με επιλεγμένη τη ρύθμιση «Μόνο εσείς», η πρώτη εφαρμογή επέστρεφε σε έναν μη εξουσιοδοτημένο χρήστη σφάλμα HTTP 401 τόσο για τη σελίδα της όσο και για τη λειτουργία δεδομένων. Όταν καταργήθηκε η δημοσίευση της δεύτερης εφαρμογής, η διεύθυνσή της τέθηκε εκτός λειτουργίας μέσα σε λίγα δευτερόλεπτα.

Γνωστοποίηση και απάντηση της SpaceXSI

Η Claroc ανέφερε ότι στις 8 Νοεμβρίου 2026 ενημέρωσε τη SpaceXSI για το σχέδιο ένταξης και μία διαφημιστική πρόταση, παρέχοντας αριθμούς προβολών, τις δύο δοκιμαστικές εφαρμογές και τέσσερις προτεινόμενες διορθώσεις. Ανέφερε τις υπόλοιπες εφαρμογές εργαζομένων στις 9 Νοεμβρίου 2026. Κατά τη δημοσίευση, η SpaceXSI είχε απαντήσει στις ερωτήσεις δημοσιογράφου, αλλά δεν είχε απαντήσει απευθείας στην ερευνητική αναφορά. Οι εφαρμογές εργαζομένων αποσύρθηκαν μετά την αναφορά, ενώ οι εκτεθειμένες εφαρμογές άλλων χρηστών παρέμειναν online.

Η SpaceXSI δήλωσε στον δημοσιογράφο ότι οι εφαρμογές παραμένουν ιδιωτικές μέχρι να επιλέξουν οι δημιουργοί να τις κοινοποιήσουν, ότι η δημοσίευση απαιτεί αρκετά βήματα και ότι οι λογαριασμοί εργαζομένων έχουν ως προεπιλεγμένη ρύθμιση το «Μόνο εσείς». Το εύρημα της Claroc αφορά την επιλογή πρόσβασης σε έναν συνηθισμένο επί πληρωμή λογαριασμό, όπου ήταν προεπιλεγμένο το «Οποιοσδήποτε διαθέτει τον σύνδεσμο». Παρ’ όλα αυτά, οι εφαρμογές εργαζομένων ήταν δημόσια προσβάσιμες, παρά την προεπιλεγμένη ρύθμιση για εργαζομένους που περιγράφηκε.

Οι προτεινόμενες αλλαγές της Claroc ήταν να φιλοξενούνται οι κοινόχρηστες εφαρμογές σε δυσνόητες διαδρομές κάτω από έναν ενιαίο κεντρικό υπολογιστή, να προστεθεί η δυνατότητα κοινοποίησης με περιορισμό στον εταιρικό τομέα, να οριστεί ως προεπιλογή η επιλογή «Μόνο εσείς» και να εμφανίζεται ποιος μπορεί να ανοίξει μια εφαρμογή πριν από τη δημοσίευσή της, καθώς και να προστεθούν προειδοποιήσεις για εφαρμογές που συνδέονται με βάση δεδομένων χωρίς να απαιτούν σύνδεση, με δημιουργία λίστας προσκεκλημένων όταν το αίτημα περιγράφει μια ομάδα.

Η Claroc άρχισε να επικοινωνεί η ίδια με τους οργανισμούς που επηρεάστηκαν, επειδή η απάντηση της SpaceXSI δεν ανέφερε ότι θα ενημέρωνε τους ιδιοκτήτες των εφαρμογών· μέχρι τη δημοσίευση, είχαν σταλεί email σε τρεις οργανισμούς. Η δημόσια αναφορά δεν περιλάμβανε ονόματα κεντρικών υπολογιστών, τίτλους εφαρμογών ή συνδέσμους, ενώ η Claroc δήλωσε ότι τα αποθηκευμένα αντίγραφα θα διαγράφονταν μόλις ολοκληρώνονταν οι ειδοποιήσεις.

Τα ευρήματα διευρύνουν το ζήτημα ασφάλειας πέρα από την απόκρυψη των URL: τα ονόματα κεντρικών υπολογιστών που μπορούσαν να εντοπιστούν καθιστούσαν δυνατή την καταγραφή των δημοσιευμένων εφαρμογών, ενώ οι ελεγχόμενες δοκιμές έδειξαν ότι ο κώδικας σύνδεσης που δημιουργείται μπορεί να μην επιβάλλει την ιδιότητα μέλους μιας ομάδας, ακόμη κι αφού ο επισκέπτης πιστοποιηθεί.