Grok Build, uno strumento di programmazione basato sull’IA, rendeva le app accessibili per impostazione predefinita a chiunque avesse il link, secondo i test descritti da Ars Technica. Il ricercatore di sicurezza Aprozper ha detto che una ricerca nel DNS passivo ha restituito 43,601 link che terminavano in grok.me. Ha scoperto che più di 35,000 permettevano di aprire le app e accedere ai dati salvati al loro interno senza bisogno di un invito.
Ars definisce pubblici questi link quasi nel 95 percento dei casi, ma i numeri riportati non tornano: 35,000 su 43,601 corrisponde a circa l’80 percento. L’articolo non spiega la differenza. Tra i materiali esposti c’erano informazioni aziendali sensibili, alcune appartenenti a SpaceXSI, secondo Ars. Chiunque avesse un link poteva aprire l’app e visualizzare i dati che conteneva.
L’azienda e il ricercatore non concordano
Un rappresentante di Cursor, il servizio di programmazione basato sull’IA acquisito di recente da SpaceXSI, ha dichiarato ad Ars che le app di Grok Build sono private per impostazione predefinita e diventano pubbliche solo se chi le crea sceglie di condividerle. I test di Aprozper hanno dato un risultato opposto: l’impostazione predefinita era «Chiunque abbia il link» e, per limitare l’accesso, gli utenti dovevano selezionare «utenti invitati» o «solo tu».
Il rappresentante non ha risposto alle domande successive sull’eventuale esposizione deliberata di informazioni interne da parte di SpaceXSI, sul motivo per cui l’azienda avesse rimosso i dati dopo la richiesta di chiarimenti di Ars o sull’eventuale intenzione di avvisare i clienti le cui informazioni potrebbero essere state esposte. L’articolo non indica quante persone abbiano visualizzato o scaricato i dati.
La condivisione dei link può comportare rischi simili
Secondo Ars, anche strumenti per creare app come Lovable, Bolt e Replit assegnano alle app indirizzi web che possono essere esposti tramite i record DNS. Aprozper ha detto che Grok è il servizio in cui ha trovato la maggior quantità di dati aziendali sensibili; l’articolo non afferma che gli altri servizi usino l’impostazione di condivisione predefinita di Grok.
Alcuni altri servizi di IA strutturano i link di condivisione in modo diverso. Gli artifact di Claude, le conversazioni condivise di ChatGPT e i link di Gemini inseriscono la parte segreta casuale nel percorso dell’URL, che non viene rivelato dal DNS. Ars consiglia agli utenti di Grok Build di scegliere «invita altre persone», a meno che non intendano rendere un’app ampiamente accessibile.
Perché conta
Chi usa Grok Build per conservare informazioni di lavoro dovrebbe controllare le impostazioni di condivisione di ogni app e scegliere «utenti invitati» o «solo tu» se non è destinata a un accesso ampio. Ars riferisce che sono state esposte informazioni aziendali sensibili, ma non stabilisce quante persone vi abbiano avuto accesso né se siano stati coinvolti i dati di altri utenti.
