Claroc Research की जाँच में 35,578 Grok ऐप बिना साइन इन किए खुले मिले

Claroc Research ने 10 नवंबर, 2026 को बताया कि परीक्षण के समय ऑनलाइन मौजूद 37,571 Grok ऐप में से 35,578 बिना साइन इन किए खुल गए। इनमें SpaceXSI और X के कर्मचारियों द्वारा बनाए गए 24 ऐप भी शामिल थे। इसके GhostShares शोध में खुले ऐप के भीतर कंपनियों, कर्मचारियों और व्यक्तियों से जुड़ी गोपनीय सामग्री मिली। रिपोर्ट के अनुसार, लोग चैट में ऐप का वर्णन करके उसे बनाते हैं और उसी चैट विंडो से प्रकाशित करते हैं; रिपोर्ट के एक स्क्रीनशॉट में Grok का निर्माण मोड चुना हुआ दिखता है।

बाकी 1,993 ऐप पर “केवल आप” या “आमंत्रित उपयोगकर्ता” सेटिंग से जुड़े HTTP 401 पहुँच-त्रुटि संदेश मिले। Claroc ने आम उपडोमेन-पहचान तकनीकों का इस्तेमाल करके grok.me के अंतर्गत 43,601 नामों की पहचान की। शोधकर्ताओं ने सार्वजनिक इंटरनेट से बिना साइन इन किए शुरुआती पृष्ठों को एक बार लोड किया और उनकी सहेजी गई प्रतियों की ऑफ़लाइन समीक्षा की।

प्रकाशित किए गए हर ऐप को अपना <name>.grok.me होस्टनाम मिलता है। डोमेन नेम सिस्टम के ज़रिए उस नाम का पता लगाने के अनुरोध खोजे जा सकने वाले निष्क्रिय-DNS इंडेक्स में दर्ज हो सकते हैं। ये इंडेक्स होस्टनाम की खोजों का संग्रह करते हैं, इसलिए चार यादृच्छिक शब्दों से बने पते भी इस्तेमाल के बाद खोजे जा सकते हैं। ऐसे साझा लिंक, जिनमें यादृच्छिक पहचानकर्ता URL के पाथ में होता है, उस पहचानकर्ता को DNS के ज़रिए उजागर नहीं करते; हालांकि, खोज इंजन में इंडेक्स होने और लिंक स्कैन करने वाले टूल से उसका पता फिर भी चल सकता है।

खुले ऐप में क्या-क्या था

SpaceXSI (पूर्व में xAI) और X के कर्मचारियों के ऐप में गोपनीय एंटरप्राइज़ बिक्री-प्रशिक्षण योजना, 594 रणनीतिक खातों और उनसे जुड़े बिक्री अवसरों को दिखाने वाला क्षेत्रीय नक्शा, और X के विज्ञापन से जुड़े आठ प्रस्ताव, मीडिया योजनाएँ और प्रस्तुतियाँ शामिल थीं। एक प्रस्ताव अमेरिकी संघीय एजेंसी के नाम था और उस पर गोपनीय चिह्न लगा था। विज्ञापनदाता खातों के लिए बनाए गए एक अलग बोर्ड में 1.6 मिलियन डॉलर के बिक्री लक्ष्य की दिशा में प्रगति दर्ज थी।

SpaceXSI और X के अलावा, Claroc ने 30 संगठनों का आंतरिक डेटा पहचाना: इनमें से 26 में 1,000 से अधिक कर्मचारी थे और छह Fortune 500 कंपनियाँ थीं। ज़्यादातर खुले ऐप गेम, लैंडिंग पेज और कैलकुलेटर थे। Claroc का अनुमान था कि 650 से 800 ऐप में निजी डेटा था। यह अनुमान लगाने के लिए उसने संभावित ऐप की पहचान हेतु AI मॉडल का इस्तेमाल किया, चिह्नित पृष्ठों की मैन्युअल समीक्षा की और यादृच्छिक नमूने के आधार पर मॉडल के नतीजों की जाँच की।

मैन्युअल रूप से पुष्टि किए गए उदाहरणों में एक अस्पताल समूह की 3,500 से अधिक कर्मचारियों वाली खोजी जा सकने वाली सूची, एक गहन चिकित्सा इकाई की ब्रीफिंग जिसमें एक मरीज़ की लैब जाँचों, इमेजिंग और वेंटिलेटर की स्थिति का विवरण था, और दमकल विभाग का लाइव शिफ्ट बोर्ड शामिल था, जिसमें दमकलकर्मियों के नाम और बैज नंबर दर्ज थे। एक ठेकेदार की टाइमशीट में स्क्रिप्ट कोड के ज़रिए 18 कर्मचारियों के खाते के रिकॉर्ड भी उजागर हुए। यह कोड आगंतुकों के ब्राउज़र डाउनलोड करते थे और इसमें सादे पाठ में पासवर्ड थे, जिनमें प्रशासक खातों के पासवर्ड भी शामिल थे।

प्रकाशन और साइन-इन की जाँच

लिखने की पहुँच और प्राधिकरण की जाँच के लिए Claroc ने काल्पनिक डेटा वाले दो ऐप बनाए। उसके सशुल्क खाते में, निर्माता के Publish पर क्लिक करने तक कुछ भी सार्वजनिक नहीं हुआ। लेकिन इसके बाद खुलने वाले पहुँच-पैनल में “लिंक वाले सभी लोग” विकल्प, “आमंत्रित उपयोगकर्ता” और “केवल आप” विकल्पों के साथ, पहले से चुना हुआ था।

पहली जाँच बिना साइन-इन वाली संपर्क सूची की थी, जिसमें डेटाबेस जुड़ा था। साइन आउट किए गए गुप्त ब्राउज़िंग विंडो से जोड़ा गया रिकॉर्ड अगले आगंतुक को दिखाई दिया। दूसरी जाँच चार लोगों की बिक्री टीम के लिए बनाई गई ग्राहक सूची की थी। इसमें Grok ने Google और X के साइन-इन बटन जोड़ दिए। कोड ने सदस्यता जाँचने से पहले साइन इन करने वाले हर व्यक्ति को टीम का सदस्य बना दिया, जिससे वह जाँच सफल हो गई। Google खाते से आया एक ऐसा व्यक्ति जिसे आमंत्रित नहीं किया गया था, हर ग्राहक का रिकॉर्ड देख सका, एक रिकॉर्ड बदल सका और दूसरा मिटा सका।

इन जाँचों से यह स्पष्ट होता है कि सार्वजनिक रूप से डेटा पढ़ पाना और उसमें बदलाव करने से सुरक्षा देना अलग-अलग बातें हैं। अगर किसी खुले ऐप में साइन-इन की व्यवस्था न हो या वह टीम की सदस्यता की पुष्टि किए बिना केवल पहचान की पुष्टि करे, तो उसमें डेटा बदलना भी संभव हो सकता है। हालांकि, Claroc ने लिखने की पहुँच और प्राधिकरण से जुड़ी इन खामियों का प्रदर्शन केवल अपने ऐप में किया। उसने किसी और के ऐप में साइन इन नहीं किया, फ़ॉर्म सबमिट नहीं किए, सर्वर फ़ंक्शन नहीं चलाए और न ही किसी ऐप में बदलाव किया।

उपलब्ध नियंत्रण चालू करने पर काम करते थे। “केवल आप” चुनने पर पहले ऐप ने एक अनजान व्यक्ति को अपने पृष्ठ और डेटा फ़ंक्शन, दोनों के लिए HTTP 401 त्रुटि दी; दूसरे ऐप का प्रकाशन रद्द करने पर उसका पता कुछ ही सेकंड में ऑफ़लाइन हो गया।

जानकारी देना और SpaceXSI की प्रतिक्रिया

Claroc ने बताया कि उसने 8 नवंबर, 2026 को SpaceXSI को प्रशिक्षण योजना और एक विज्ञापन प्रस्ताव के बारे में सूचित किया था। उसने उजागर होने की संख्या, अपने बनाए दोनों परीक्षण ऐप और सुधार के चार प्रस्ताव भी दिए थे। अन्य कर्मचारी ऐप के बारे में उसने 9 नवंबर, 2026 को जानकारी दी। रिपोर्ट प्रकाशित होने तक SpaceXSI ने एक पत्रकार के सवालों का जवाब दिया था, लेकिन शोध रिपोर्ट पर सीधे प्रतिक्रिया नहीं दी थी। रिपोर्ट के बाद कर्मचारियों के ऐप हटा दिए गए, जबकि अन्य उपयोगकर्ताओं के उजागर ऐप ऑनलाइन बने रहे।

SpaceXSI ने पत्रकार से कहा कि ऐप तब तक निजी रहते हैं, जब तक उनके निर्माता उन्हें साझा करने का विकल्प नहीं चुनते; प्रकाशित करने के लिए कई चरण पूरे करने होते हैं; और कर्मचारियों के खाते डिफ़ॉल्ट रूप से “केवल आप” पर सेट होते हैं। Claroc की जाँच का संबंध एक सामान्य सशुल्क खाते में पहुँच के विकल्प से था, जहाँ “लिंक वाले सभी लोग” पहले से चुना हुआ था। इसके बावजूद, कर्मचारियों के ऐप बताए गए डिफ़ॉल्ट के विपरीत सार्वजनिक रूप से उपलब्ध थे।

Claroc ने सुझाव दिया कि साझा ऐप को एक ही होस्ट के अंतर्गत ऐसे पाथ पर रखा जाए जिसका अनुमान लगाना कठिन हो; संगठन के डोमेन तक सीमित साझा करने की सुविधा जोड़ी जाए; डिफ़ॉल्ट विकल्प “केवल आप” हो और प्रकाशन से पहले यह दिखाया जाए कि ऐप कौन खोल सकता है; और बिना साइन-इन वाले डेटाबेस-संबद्ध ऐप के लिए चेतावनी दी जाए। साथ ही, जब किसी अनुरोध में टीम का ज़िक्र हो, तो आमंत्रित लोगों की सूची बनाने की सुविधा भी जोड़ी जाए।

Claroc ने प्रभावित संगठनों से खुद संपर्क करना शुरू किया, क्योंकि SpaceXSI की प्रतिक्रिया में यह नहीं कहा गया था कि वह ऐप मालिकों को सूचित करेगा; रिपोर्ट प्रकाशित होने तक तीन संगठनों को ईमेल भेजे जा चुके थे। सार्वजनिक रिपोर्ट में होस्टनाम, ऐप शीर्षक और लिंक शामिल नहीं थे, और Claroc ने कहा कि सूचनाएँ भेजे जाने के बाद सुरक्षित रखी गई प्रतियाँ मिटा दी जाएँगी।

इन निष्कर्षों से सुरक्षा संबंधी चिंता का दायरा यूआरएल की गोपनीयता से आगे बढ़ता है: खोजे जा सकने वाले होस्टनामों के कारण प्रकाशित ऐप्स की सूची तैयार की जा सकती थी, और नियंत्रित परीक्षणों से पता चला कि जनरेट किया गया साइन-इन कोड, आगंतुक के प्रमाणीकरण के बाद भी, टीम की सदस्यता लागू करने में विफल हो सकता है।