Ars Technica가 소개한 테스트에 따르면 AI 코딩 도구 Grok Build는 기본 설정에서 링크만 있으면 누구나 앱에 접근할 수 있도록 했다. 보안 연구자 Aprozper는 수동 DNS 검색으로 grok.me로 끝나는 링크 43,601개를 찾아냈다. 이 가운데 35,000개가 넘는 링크는 초대 없이 앱과 저장된 데이터에 접근할 수 있었다.
Ars는 해당 공개 링크가 전체의 거의 95%라고 보도했지만, 제시한 수치는 서로 맞지 않는다. 43,601개 중 35,000개는 약 80%다. 보도는 이 차이를 설명하지 않았다. Ars에 따르면 노출된 자료에는 민감한 회사 정보가 포함됐으며, 일부는 SpaceXSI 소유였다. 링크를 가진 사람은 누구나 앱을 열어 저장된 데이터를 볼 수 있었다.
회사와 연구자의 주장은 엇갈려
최근 SpaceXSI에 인수된 AI 코딩 서비스 Cursor의 관계자는 Ars에 Grok Build 앱은 기본적으로 비공개이며, 제작자가 공유하기로 선택한 경우에만 공개된다고 말했다. 그러나 Aprozper의 테스트에서는 기본 설정이 ‘링크가 있는 모든 사용자’였고, 접근을 제한하려면 사용자가 ‘초대된 사용자’ 또는 ‘나만’을 선택해야 했다.
관계자는 SpaceXSI가 내부 정보를 의도적으로 노출했는지, Ars가 이에 관해 문의한 뒤 데이터를 삭제한 이유가 무엇인지, 정보가 노출됐을 수 있는 고객에게 통지할 것인지에 대한 후속 질문에는 답하지 않았다. 해당 계정은 데이터에 접근하거나 이를 내려받은 사람이 몇 명인지 밝히지 않았다.
링크 공유는 다른 서비스에서도 위험할 수 있어
Ars에 따르면 Lovable, Bolt, Replit 등 앱 제작 도구도 앱에 웹 주소를 부여하며, 이 주소가 DNS 기록을 통해 노출될 수 있다. Aprozper는 민감한 회사 데이터를 가장 많이 발견한 곳이 Grok이었다고 말했다. 다만 다른 서비스도 Grok과 같은 기본 공유 설정을 사용하는지는 보도에서 다루지 않았다.
일부 다른 AI 서비스는 공유 링크를 다른 방식으로 구성한다. Claude artifacts, ChatGPT 공유 대화, Gemini 링크는 무작위 비밀값을 URL 경로에 넣기 때문에 DNS에 드러나지 않는다. Ars는 앱을 널리 공개할 의도가 없다면 Grok Build 사용자가 ‘다른 사용자 초대’를 선택하라고 권고했다.
왜 중요한가
Grok Build에 업무 정보를 저장하는 사용자는 앱별 공유 설정을 확인하고, 널리 공개할 의도가 없다면 ‘초대된 사용자’ 또는 ‘나만’을 선택해야 한다. Ars는 민감한 회사 정보가 노출됐다고 보도했지만, 몇 명이 접근했는지 또는 다른 사용자의 데이터도 영향을 받았는지는 확인되지 않았다.
