Claroc Araştırması, 35.578 Grok Uygulamasına Oturum Açmadan Erişilebildiğini Ortaya Koydu

Claroc Research, 10 Kasım 2026’da yaptığı açıklamada, test sırasında çevrimiçi olan 37.571 Grok uygulamasının 35.578’inin oturum açmadan kullanılabildiğini; bunların 24’ünün SpaceXSI ve X çalışanları tarafından oluşturulduğunu bildirdi. GhostShares araştırmasında, erişime açık uygulamalarda kurumsal, çalışanlara ait ve kişisel gizli bilgiler buldu. Rapora göre kullanıcılar, uygulamaları sohbet sırasında ne istediklerini anlatarak oluşturuyor ve aynı sohbet penceresinden yayımlıyor; rapordaki ekran görüntüsünde Grok’un uygulama oluşturma modu seçili.

Geri kalan 1.993 uygulama, “Yalnızca siz” veya “Davet edilen kullanıcılar” ayarlarıyla ilişkili HTTP 401 erişim hataları verdi. Claroc, yaygın alt alan adı keşif tekniklerini kullanarak grok.me altında 43.601 ad belirledi. Araştırmacılar, herkese açık internet üzerinden oturum açmadan her uygulamanın ilk sayfasını bir kez yükledi ve kaydedilmiş kopyaları çevrimdışı olarak inceledi.

Yayımlanan her uygulamaya kendine ait bir <name>.grok.me ana makine adı verilir. Bu adın Alan Adı Sistemi (DNS) üzerinden çözümlenmesine yönelik istekler, ana makine adı sorgularını toplayan ve arama yapılabilen pasif DNS dizinlerine aktarılabilir. Bu nedenle, dört rastgele sözcükten oluşturulan adresler bile kullanıldıktan sonra aranabilir hâle gelebilir. Rastgele tanımlayıcısı URL yolunda bulunan paylaşılan bağlantılar bu tanımlayıcıyı DNS üzerinden açığa çıkarmaz; ancak arama motorlarının dizine eklemesi ve bağlantı tarayıcıları yine de tanımlayıcıyı ortaya çıkarabilir.

Erişime Açık Uygulamalarda Neler Vardı?

Eski adı xAI olan SpaceXSI ve X bünyesindeki çalışan uygulamalarında gizli bir kurumsal satış işe alıştırma planı, 594 stratejik hesabı ve bu hesapların satış sürecindeki durumunu kapsayan bir bölge haritası ile X’e ait sekiz reklam teklifi, medya planı ve sunum dosyası bulunuyordu. Tekliflerden biri bir ABD federal kurumuna hitaben hazırlanmış ve gizli olarak işaretlenmişti. Ayrı bir reklamveren hesabı panosu, 1,6 milyon dolarlık satış hedefine yönelik ilerlemeyi izliyordu.

Claroc, SpaceXSI ve X’in yanı sıra 30 kuruluşa ait kurum içi veriler belirledi: Bunların 26’sında 1.000’den fazla çalışan vardı ve altısı Fortune 500 şirketiydi. Erişime açık uygulamaların çoğu oyun, açılış sayfası ve hesap makinesiydi. Claroc, adayları işaretlemek için bir yapay zekâ modeli kullandıktan, işaretlenen sayfaları elle inceledikten ve modeli rastgele bir örneklem üzerinde kontrol ettikten sonra 650 ila 800 uygulamanın özel veriler içerdiği tahmininde bulundu.

Elle doğrulanan örnekler arasında, aranabilir ve 3.500’den fazla çalışanın yer aldığı bir hastane grubuna ait personel listesi; bir hastanın laboratuvar sonuçlarını, görüntüleme bulgularını ve ventilatör durumunu içeren bir yoğun bakım bilgilendirmesi; itfaiyecilerin adlarını ve yaka numaralarını listeleyen, sürekli güncellenen bir itfaiye vardiya panosu vardı. Bir yüklenicinin zaman çizelgesi de ziyaretçilerin tarayıcılarına indirilen betik kodunda, yönetici hesapları dâhil 18 çalışana ait hesap kaydını ve açık metin parolaları açığa çıkardı.

Yayımlama ve Oturum Açma Testleri

Yazma erişimini ve yetkilendirmeyi incelemek için Claroc, uydurma verilerle iki uygulama oluşturdu. Ücretli hesabında, uygulamayı oluşturan kişi Yayımla düğmesine basmadan önce hiçbir içerik herkese açık hâle gelmedi; ancak ardından açılan erişim panelinde “Bağlantıya sahip olan herkes” seçeneği, “Davet edilen kullanıcılar” ve “Yalnızca siz” seçenekleriyle birlikte önceden seçiliydi.

İlk testte, veritabanı bulunan ve oturum açma gerektirmeyen bir kişi listesi kullanıldı. Oturumu kapatılmış gizli bir tarayıcı penceresinden eklenen bir kaydı sonraki ziyaretçi görebildi. İkinci testte, dört kişilik bir satış ekibine yönelik müşteri listesi için Grok, Google ve X ile oturum açma düğmeleri ekledi. Kod, üyeliği kontrol etmeden önce oturum açan herkesi ekip üyesi olarak kaydettiği için bu kontrol her seferinde olumlu sonuçlandı; davet edilmemiş bir Google hesabı tüm müşterileri görüntüledi, bir kaydı değiştirdi ve bir başkasını sildi.

Bu testler, herkese açık okuma erişimi ile yazma korumasının birbirinden ayrı olduğunu gösteriyor. Erişime açık bir uygulama, oturum açma gerektirmiyorsa veya ekip üyeliğini doğrulamadan yalnızca kimliği doğruluyorsa veri değişikliğine de izin verebilir; ancak Claroc, bu yazma ve yetkilendirme açıklarını yalnızca kendi uygulamalarında gösterdi. Başka hiç kimsenin uygulamasında oturum açmadı, form göndermedi, sunucu işlevlerini çağırmadı veya değişiklik yapmadı.

Kullanılabilir kontroller etkinleştirildiğinde işe yaradı. “Yalnızca siz” seçildiğinde ilk uygulama, hem sayfası hem de veri işlevi için yetkisiz bir kişiye HTTP 401 hatası verdi; ikinci uygulamanın yayından kaldırılmasıyla adresi saniyeler içinde çevrimdışı kaldı.

İfşa ve SpaceXSI’nin Yanıtı

Claroc, işe alıştırma planı ve bir reklam teklifiyle ilgili olarak 8 Kasım 2026’da SpaceXSI’yi bilgilendirdiğini; erişime maruz kalan içerik sayılarını, iki test uygulamasını ve önerilen dört düzeltmeyi paylaştığını söyledi. Diğer çalışan uygulamalarını ise 9 Kasım 2026’da bildirdi. Yayın sırasında SpaceXSI, bir muhabirin sorularını yanıtlamış ancak araştırma raporuna doğrudan yanıt vermemişti. Raporun ardından çalışan uygulamaları yayından kaldırılırken diğer kullanıcıların açığa çıkan uygulamaları çevrimiçi kalmayı sürdürdü.

SpaceXSI muhabire, uygulamaların içerik oluşturucuları paylaşmayı seçene kadar gizli kaldığını, yayımlamak için birkaç adım gerektiğini ve çalışan hesaplarında varsayılan ayarın “Yalnızca siz” olduğunu söyledi. Claroc’un bulgusu, “Bağlantıya sahip olan herkes” seçeneğinin önceden seçili olduğu sıradan bir ücretli hesaptaki erişim seçeneğiyle ilgili. Buna rağmen çalışan uygulamaları, açıklanan çalışan varsayılan ayarına karşın herkese açık olarak erişilebiliyordu.

Claroc’un önerdiği değişiklikler şunlardı: Paylaşılan uygulamaları tek bir ana makine altında tahmin edilmesi zor yollara taşımak; kuruluş alan adıyla sınırlandırılmış paylaşım eklemek; varsayılan ayarı “Yalnızca siz” olarak belirlerken yayımlama öncesinde bir uygulamayı kimlerin açabileceğini göstermek; oturum açma olmadan kullanılan, veritabanı destekli uygulamalar için uyarılar eklemek ve bir istek ekipten söz ediyorsa davet listesi oluşturmak.

Claroc, SpaceXSI’ın yanıtında uygulama sahiplerine bildirimde bulunacağını belirtmemesi üzerine etkilenen kuruluşlarla doğrudan iletişime geçmeye başladı; rapor yayımlandığında üç kuruluşa e-posta gönderilmişti. Kamuya açık raporda ana makine adları, uygulama başlıkları ve bağlantılar yer almadı. Claroc, bildirimler tamamlandıktan sonra kaydedilen kopyaların silineceğini söyledi.

Bulgular, güvenlik endişesini URL’lerin gizliliğinin ötesine taşıyor: keşfedilebilir ana makine adları, yayımlanan uygulamaların listelenebilmesini sağladı; kontrollü testler ise oluşturulan oturum açma kodunun, ziyaretçi kimliğini doğruladıktan sonra bile ekip üyeliğini zorunlu kılmayı başaramayabileceğini gösterdi.