Claroc Research พบว่าแอป Grok จำนวน 35,578 แอปเข้าถึงได้โดยไม่ต้องลงชื่อเข้าใช้

เมื่อวันที่ 10 พฤศจิกายน 2026 Claroc Research รายงานว่า จากแอป Grok จำนวน 37,571 แอปที่ยังออนไลน์อยู่ขณะทำการทดสอบ มี 35,578 แอปที่เปิดได้โดยไม่ต้องลงชื่อเข้าใช้ ซึ่งรวมถึง 24 แอปที่พนักงาน SpaceXSI และ X สร้างขึ้น งานวิจัย เกี่ยวกับ GhostShares ของ Claroc พบข้อมูลลับขององค์กร ข้อมูลพนักงาน และข้อมูลส่วนบุคคลในแอปที่เปิดให้เข้าถึงได้ รายงานระบุว่าผู้ใช้สร้างแอปได้ด้วยการอธิบายสิ่งที่ต้องการผ่านแชต แล้วเผยแพร่จากหน้าต่างแชตเดียวกัน ภาพหน้าจอในรายงานแสดงว่าได้เลือกโหมด Build ของ Grok ไว้

แอปที่เหลืออีก 1,993 แอปแสดงข้อผิดพลาดการเข้าถึง HTTP 401 ซึ่งเกี่ยวข้องกับการตั้งค่า “เฉพาะคุณ” หรือ “ผู้ใช้ที่ได้รับเชิญ” Claroc ระบุชื่อ 43,601 ชื่อภายใต้ grok.me ด้วยเทคนิคทั่วไปในการค้นหาซับโดเมน นักวิจัยโหลดหน้าแรกจากอินเทอร์เน็ตสาธารณะโดยไม่ลงชื่อเข้าใช้เพียงครั้งเดียว แล้วตรวจสอบสำเนาที่บันทึกไว้แบบออฟไลน์

แอปที่เผยแพร่แต่ละแอปจะมี <name>.grok.me ชื่อโฮสต์เป็นของตัวเอง คำขอที่ใช้ค้นหาชื่อนั้นผ่านระบบชื่อโดเมน (DNS) อาจถูกนำไปจัดทำดัชนี DNS แบบพาสซีฟที่ค้นหาได้ ซึ่งรวบรวมการค้นหาชื่อโฮสต์ไว้ ดังนั้นแม้แต่ที่อยู่ที่สร้างจากคำสุ่มสี่คำก็อาจค้นหาได้หลังจากมีการใช้งาน ลิงก์ที่แชร์ซึ่งมีตัวระบุแบบสุ่มอยู่ในพาธของ URL จะไม่เปิดเผยตัวระบุนั้นผ่าน DNS แต่ระบบจัดทำดัชนีการค้นหาและเครื่องมือสแกนลิงก์ยังอาจเปิดเผยตัวระบุได้

ภายในแอปที่เปิดให้เข้าถึงมีอะไรบ้าง

แอปภายในสำหรับพนักงานของ SpaceXSI ซึ่งเดิมชื่อ xAI และ X มีแผนเริ่มงานสำหรับฝ่ายขายองค์กรที่เป็นความลับ แผนที่เขตพื้นที่ซึ่งครอบคลุมบัญชีลูกค้าเชิงกลยุทธ์ 594 บัญชีพร้อมข้อมูลโอกาสทางการขาย ตลอดจนข้อเสนอ แผนสื่อ และชุดเอกสารนำเสนอสำหรับโฆษณาบน X จำนวน 8 ชุด ข้อเสนอฉบับหนึ่งส่งถึงหน่วยงานรัฐบาลกลางของสหรัฐฯ และระบุว่าเป็นความลับ ส่วนกระดานติดตามบัญชีผู้ลงโฆษณาอีกชุดหนึ่งติดตามความคืบหน้าไปสู่เป้าหมายยอดขาย 1.6 ล้านดอลลาร์

นอกเหนือจาก SpaceXSI และ X แล้ว Claroc ยังระบุข้อมูลภายในขององค์กร 30 แห่ง โดย 26 แห่งมีพนักงานมากกว่า 1,000 คน และ 6 แห่งเป็นบริษัทใน Fortune 500 แอปที่เปิดให้เข้าถึงได้ส่วนใหญ่เป็นเกม หน้าเว็บไซต์แบบหน้าเดียว และเครื่องคำนวณ Claroc ประเมินว่ามีแอป 650 ถึง 800 แอปที่มีข้อมูลส่วนตัว โดยใช้โมเดล AI คัดกรองแอปที่อาจมีข้อมูลดังกล่าว ตรวจสอบหน้าที่ถูกคัดกรองด้วยตนเอง และทดสอบโมเดลกับตัวอย่างสุ่ม

ตัวอย่างที่ยืนยันด้วยการตรวจสอบด้วยตนเอง ได้แก่ รายชื่อพนักงานของกลุ่มโรงพยาบาลที่ค้นหาได้และมีพนักงานมากกว่า 3,500 คน รายงานสรุปผู้ป่วยหนักที่มีผลตรวจทางห้องปฏิบัติการ ภาพถ่ายทางการแพทย์ และสถานะการใช้เครื่องช่วยหายใจของผู้ป่วยรายหนึ่ง และกระดานจัดเวรแบบเรียลไทม์ของหน่วยดับเพลิง ซึ่งแสดงชื่อและหมายเลขประจำตัวของนักดับเพลิง นอกจากนี้ ระบบยังเปิดเผยข้อมูลบัญชีพนักงาน 18 รายการในใบบันทึกเวลาทำงานของผู้รับเหมา โดยมีรหัสผ่านเป็นข้อความธรรมดา รวมถึงบัญชีผู้ดูแลระบบ อยู่ในโค้ดสคริปต์ที่เบราว์เซอร์ของผู้เข้าชมดาวน์โหลด

การทดสอบการเผยแพร่และการลงชื่อเข้าใช้

เพื่อทดสอบสิทธิ์การเขียนข้อมูลและการอนุญาต Claroc สร้างแอปสองแอปโดยใช้ข้อมูลสมมติ ในบัญชีแบบชำระเงินของ Claroc จะไม่มีข้อมูลใดเปิดเผยต่อสาธารณะจนกว่าผู้สร้างจะคลิก “เผยแพร่” แต่หลังจากนั้น แผงควบคุมการเข้าถึงจะเลือก “ทุกคนที่มีลิงก์” ไว้ล่วงหน้า ควบคู่กับตัวเลือก “ผู้ใช้ที่ได้รับเชิญ” และ “เฉพาะคุณ”

การทดสอบแรกเป็นรายชื่อผู้ติดต่อที่เชื่อมกับฐานข้อมูลและไม่มีระบบลงชื่อเข้าใช้ เมื่อเพิ่มรายการจากหน้าต่างไม่ระบุตัวตนที่ไม่ได้ลงชื่อเข้าใช้ ผู้เข้าชมคนถัดไปก็มองเห็นรายการนั้นได้ ส่วนการทดสอบที่สองเป็นรายชื่อลูกค้าสำหรับทีมขายสี่คน Grok เพิ่มปุ่มลงชื่อเข้าใช้ด้วย Google และ X โค้ดของแอปลงทะเบียนทุกคนที่ลงชื่อเข้าใช้เป็นสมาชิกทีมก่อนตรวจสอบการเป็นสมาชิก ทำให้การตรวจสอบผ่าน บัญชี Google ที่ไม่ได้รับเชิญจึงดูข้อมูลลูกค้าได้ทุกราย แก้ไขข้อมูลหนึ่งรายการ และลบอีกหนึ่งรายการ

การทดสอบเหล่านี้แสดงให้เห็นความแตกต่างระหว่างการเปิดให้อ่านข้อมูลต่อสาธารณะกับการป้องกันการเขียนข้อมูล แอปที่เปิดให้เข้าถึงได้อาจอนุญาตให้แก้ไขข้อมูลด้วย หากไม่มีระบบลงชื่อเข้าใช้หรือยืนยันตัวตนโดยไม่ตรวจสอบการเป็นสมาชิกทีม อย่างไรก็ตาม Claroc สาธิตข้อบกพร่องด้านการเขียนข้อมูลและการอนุญาตเหล่านี้เฉพาะในแอปของตนเองเท่านั้น โดยไม่ได้ลงชื่อเข้าใช้ ส่งแบบฟอร์ม เรียกใช้ฟังก์ชันฝั่งเซิร์ฟเวอร์ หรือแก้ไขแอปของผู้อื่น

การควบคุมที่มีอยู่ใช้งานได้เมื่อเปิดใช้ เมื่อตั้งค่าเป็น “เฉพาะคุณ” แอปแรกแสดง HTTP 401 แก่บุคคลภายนอก ทั้งเมื่อเข้าถึงหน้าแอปและฟังก์ชันข้อมูล ส่วนการยกเลิกเผยแพร่แอปที่สองทำให้ที่อยู่ของแอปใช้งานไม่ได้ภายในไม่กี่วินาที

การเปิดเผยข้อมูลและการตอบสนองของ SpaceXSI

Claroc ระบุว่าได้แจ้ง SpaceXSI เมื่อวันที่ 8 พฤศจิกายน 2026 เกี่ยวกับแผนเริ่มงานและข้อเสนอด้านโฆษณา พร้อมแจ้งจำนวนครั้งที่ข้อมูลถูกเปิดเผย แอปทดสอบสองแอป และแนวทางแก้ไขที่เสนอไว้สี่ข้อ จากนั้นได้รายงานแอปภายในสำหรับพนักงานอื่น ๆ เมื่อวันที่ 9 พฤศจิกายน 2026 ขณะเผยแพร่รายงาน SpaceXSI ได้ตอบคำถามของผู้สื่อข่าวแล้ว แต่ยังไม่ได้ตอบกลับรายงานวิจัยโดยตรง แอปภายในสำหรับพนักงานถูกนำออกหลังจากมีรายงานดังกล่าว ขณะที่แอปของผู้ใช้รายอื่นซึ่งเปิดเผยข้อมูลยังคงออนไลน์อยู่

SpaceXSI แจ้งผู้สื่อข่าวว่าแอปจะยังคงเป็นส่วนตัวจนกว่าผู้สร้างจะเลือกแชร์ การเผยแพร่ต้องผ่านหลายขั้นตอน และบัญชีพนักงานตั้งค่าเริ่มต้นเป็น “เฉพาะคุณ” ข้อค้นพบของ Claroc กล่าวถึงตัวเลือกการเข้าถึงในบัญชีแบบชำระเงินทั่วไป ซึ่งมีการเลือก “ทุกคนที่มีลิงก์” ไว้ล่วงหน้า อย่างไรก็ตาม แอปภายในสำหรับพนักงานยังเข้าถึงได้โดยสาธารณะ แม้จะมีการตั้งค่าเริ่มต้นสำหรับพนักงานตามที่อธิบายไว้

แนวทางแก้ไขที่ Claroc เสนอ ได้แก่ ย้ายแอปที่แชร์ไปไว้บนพาธที่คาดเดาได้ยากภายใต้โฮสต์เดียว เพิ่มตัวเลือกแชร์ที่จำกัดเฉพาะโดเมนขององค์กร ตั้งค่าเริ่มต้นเป็น “เฉพาะคุณ” พร้อมแสดงว่าใครสามารถเปิดแอปได้ก่อนเผยแพร่ และเพิ่มคำเตือนสำหรับแอปที่เชื่อมกับฐานข้อมูลแต่ไม่มีระบบลงชื่อเข้าใช้ รวมถึงสร้างรายชื่อผู้ได้รับเชิญเมื่อคำขอระบุว่าต้องการใช้แอปเป็นทีม

Claroc เริ่มติดต่อองค์กรที่ได้รับผลกระทบด้วยตนเอง เนื่องจากคำตอบของ SpaceXSI ไม่ได้ระบุว่าจะส่งการแจ้งเตือนไปยังเจ้าของแอป ก่อนเผยแพร่รายงาน Claroc ได้ส่งอีเมลถึงองค์กร 3 แห่งแล้ว รายงานสาธารณะไม่ได้เปิดเผยชื่อโฮสต์ ชื่อแอป หรือลิงก์ และ Claroc ระบุว่าจะลบสำเนาที่บันทึกไว้หลังจากแจ้งเตือนครบถ้วนแล้ว

ผลการตรวจสอบทำให้ข้อกังวลด้านความปลอดภัยขยายวงกว้างไปไกลกว่าการปกปิด URL กล่าวคือ ชื่อโฮสต์ที่ค้นพบได้ทำให้สามารถไล่ดูแอปที่เผยแพร่แล้วได้ และการทดสอบแบบควบคุมแสดงให้เห็นว่าโค้ดเข้าสู่ระบบที่สร้างขึ้นอาจไม่สามารถบังคับใช้ข้อกำหนดเรื่องการเป็นสมาชิกทีมได้ แม้ผู้เข้าชมจะยืนยันตัวตนแล้วก็ตาม