Penelitian Claroc Menemukan 35.578 Aplikasi Grok Dapat Diakses Tanpa Masuk

Pada 10 November 2026, Claroc Research melaporkan bahwa 35.578 dari 37.571 aplikasi Grok yang masih online saat diuji dapat dibuka tanpa masuk, termasuk 24 aplikasi yang dibuat oleh staf SpaceXSI dan X. Penelitian GhostShares menemukan materi rahasia perusahaan, karyawan, dan pribadi di aplikasi-aplikasi yang terbuka tersebut. Menurut laporan itu, orang membuat aplikasi dengan menjelaskannya lewat obrolan, lalu memublikasikannya dari jendela obrolan yang sama; tangkapan layar dalam laporan menunjukkan mode Build milik Grok sedang dipilih.

Sebanyak 1.993 aplikasi lainnya menampilkan galat akses HTTP 401 yang terkait dengan setelan “Hanya Anda” atau “Pengguna yang Diundang”. Claroc mengidentifikasi 43.601 nama di bawah grok.me menggunakan teknik umum untuk menemukan subdomain. Peneliti memuat halaman pertama satu kali dari internet publik tanpa masuk, lalu meninjau salinan yang disimpan secara luring.

Setiap aplikasi yang dipublikasikan mendapatkan <name>.grok.me nama host sendiri. Permintaan untuk menerjemahkan nama itu melalui Sistem Nama Domain (DNS) dapat masuk ke indeks DNS pasif yang bisa ditelusuri dan mengumpulkan pencarian nama host. Karena itu, alamat yang dibuat dari empat kata acak pun dapat ditelusuri setelah digunakan. Tautan yang dibagikan dan memiliki pengenal acak di jalur URL tidak mengungkapkan pengenal tersebut melalui DNS, meskipun pengindeksan mesin pencari dan pemindai tautan masih dapat mengungkapkannya.

Isi Aplikasi yang Terbuka

Aplikasi staf di SpaceXSI, yang sebelumnya bernama xAI, dan X memuat rencana rahasia orientasi penjualan untuk klien korporat, peta wilayah yang mencakup 594 akun strategis beserta jalur penjualannya, serta delapan proposal iklan, rencana media, dan presentasi X. Salah satu proposal ditujukan kepada lembaga federal AS dan diberi tanda rahasia. Papan akun pengiklan terpisah melacak kemajuan menuju sasaran penjualan sebesar $1,6 juta.

Selain SpaceXSI dan X, Claroc mengidentifikasi data internal dari 30 organisasi: 26 di antaranya memiliki lebih dari 1.000 karyawan dan enam merupakan perusahaan Fortune 500. Sebagian besar aplikasi yang terbuka adalah gim, halaman arahan, dan kalkulator. Claroc memperkirakan 650 hingga 800 aplikasi berisi data pribadi setelah menggunakan model AI untuk menandai aplikasi yang berpotensi memuat data tersebut, meninjau secara manual halaman yang ditandai, dan memeriksa hasil model terhadap sampel acak.

Contoh yang dikonfirmasi secara manual mencakup daftar pegawai sebuah grup rumah sakit yang dapat ditelusuri dan berisi lebih dari 3.500 orang, pengarahan perawatan intensif yang memuat hasil laboratorium, pencitraan, dan status ventilator seorang pasien, serta papan jadwal kerja langsung sebuah pemadam kebakaran yang mencantumkan nama dan nomor lencana para petugasnya. Lembar waktu kerja seorang kontraktor juga memaparkan 18 catatan akun karyawan dengan kata sandi dalam teks biasa, termasuk akun administrator, di dalam kode skrip yang diunduh oleh peramban pengunjung.

Pengujian Publikasi dan Proses Masuk

Untuk memeriksa akses tulis dan otorisasi, Claroc membuat dua aplikasi dengan data rekaan. Pada akun berbayarnya, tidak ada yang menjadi publik sebelum pembuat mengeklik Publikasikan, tetapi panel akses yang muncul setelahnya sudah memilih “Siapa pun yang memiliki tautan” secara bawaan, di samping opsi “Pengguna yang Diundang” dan “Hanya Anda”.

Pengujian pertama menggunakan daftar kontak dengan basis data dan tanpa proses masuk. Catatan yang ditambahkan dari jendela penyamaran yang tidak masuk terlihat oleh pengunjung berikutnya. Untuk pengujian kedua, yaitu daftar pelanggan yang ditujukan bagi tim penjualan beranggotakan empat orang, Grok menambahkan tombol masuk Google dan X. Kodenya mendaftarkan siapa pun yang masuk sebagai anggota tim sebelum memeriksa keanggotaan, sehingga pemeriksaan tersebut selalu lolos; akun Google yang tidak diundang dapat melihat semua pelanggan, mengubah satu catatan, dan menghapus catatan lainnya.

Pengujian tersebut membedakan akses baca publik dari perlindungan terhadap perubahan data. Aplikasi yang terbuka juga dapat memungkinkan perubahan data jika tidak memiliki proses masuk atau memverifikasi identitas tanpa memverifikasi keanggotaan tim, tetapi Claroc hanya mendemonstrasikan kegagalan akses tulis dan otorisasi tersebut pada aplikasinya sendiri. Claroc tidak masuk ke aplikasi milik pihak lain, mengirimkan formulir ke sana, memanggil fungsi servernya, ataupun mengubahnya.

Kontrol yang tersedia berfungsi saat diaktifkan. Ketika “Hanya Anda” dipilih, aplikasi pertama menampilkan HTTP 401 kepada orang asing, baik untuk halaman maupun fungsi datanya; membatalkan publikasi aplikasi kedua membuat alamatnya luring dalam hitungan detik.

Pengungkapan dan Tanggapan SpaceXSI

Claroc mengatakan bahwa pada 8 November 2026, pihaknya memberi tahu SpaceXSI tentang rencana orientasi dan sebuah proposal iklan, serta menyampaikan jumlah paparan, dua aplikasi pengujian, dan empat usulan perbaikan. Claroc melaporkan aplikasi staf lainnya pada 9 November 2026. Saat laporan diterbitkan, SpaceXSI telah menjawab pertanyaan seorang reporter, tetapi belum menanggapi langsung laporan penelitian tersebut. Aplikasi staf diturunkan setelah laporan itu, sementara aplikasi pengguna lain yang terpapar tetap online.

SpaceXSI mengatakan kepada reporter bahwa aplikasi tetap bersifat privat sampai pembuatnya memilih untuk membagikannya, proses publikasi memerlukan beberapa langkah, dan akun karyawan secara bawaan disetel ke “Hanya Anda”. Temuan Claroc berkaitan dengan pilihan akses pada akun berbayar biasa, yang secara bawaan memilih “Siapa pun yang memiliki tautan”. Meskipun demikian, aplikasi staf dapat diakses publik, kendati setelan bawaan untuk karyawan yang dijelaskan SpaceXSI menyatakan sebaliknya.

Usulan perubahan Claroc adalah menempatkan aplikasi yang dibagikan pada jalur yang sulit ditebak di bawah satu host, menambahkan opsi berbagi yang dibatasi pada domain organisasi, menetapkan “Hanya Anda” sebagai pilihan bawaan sekaligus menampilkan siapa saja yang dapat membuka aplikasi sebelum dipublikasikan, serta menambahkan peringatan untuk aplikasi berbasis basis data yang tidak memiliki proses masuk, dengan pembuatan daftar undangan ketika permintaan menjelaskan adanya sebuah tim.

Claroc mulai menghubungi organisasi yang terdampak secara langsung karena tanggapan SpaceXSI tidak menyebutkan bahwa pemilik aplikasi akan diberi tahu; sebelum laporan diterbitkan, tiga organisasi telah dikirimi email. Laporan publik tersebut tidak mencantumkan nama host, judul aplikasi, maupun tautan, dan Claroc mengatakan bahwa salinan yang disimpan akan dihapus setelah semua pemberitahuan selesai disampaikan.

Temuan ini memperluas kekhawatiran keamanan, tidak hanya sebatas kerahasiaan URL: nama host yang dapat ditemukan membuat aplikasi yang dipublikasikan bisa didata, dan pengujian terkontrol menunjukkan bahwa kode masuk yang dihasilkan dapat gagal membatasi keanggotaan tim, bahkan setelah pengunjung berhasil mengautentikasi diri.