# Links do Grok Build expuseram dados confidenciais, diz Ars

> Um pesquisador descobriu que dezenas de milhares de links de apps do Grok Build podiam ser acessados por qualquer pessoa que os tivesse, inclusive links com informações empresariais sigilosas.

Oossa · 2026-11-10 · https://oossa.com/pt/grok-build-links-exposed-confidential-app-data-ars-reports

O Grok Build, uma ferramenta de programação com IA, deixava os apps acessíveis por padrão a qualquer pessoa com o link, segundo testes descritos pelo Ars Technica. O pesquisador de segurança Aprozper disse que uma busca em DNS passivo encontrou 43,601 links terminados em grok.me. Ele descobriu que mais de 35,000 permitiam abrir apps e acessar os dados armazenados neles sem convite.

O Ars descreve esses links públicos como quase 95 por cento do total, mas os números apresentados não batem: 35,000 de 43,601 correspondem a cerca de 80 por cento. A reportagem não explica a diferença. O material exposto incluía informações empresariais sigilosas, algumas pertencentes à SpaceXSI, segundo o Ars. Qualquer pessoa com um link podia abrir o app correspondente e consultar os dados armazenados nele.

## Empresa e pesquisador divergem

Um representante da Cursor, serviço de programação com IA adquirido recentemente pela SpaceXSI, disse ao Ars que os apps do Grok Build são privados por padrão e só se tornam públicos se seus criadores optarem por compartilhá-los. Os testes de Aprozper indicaram o contrário: a opção padrão era “Anyone with the link”, e os usuários precisavam mudar a configuração para “invited users” ou “only you” para limitar o acesso.

O representante não respondeu a perguntas posteriores sobre se a SpaceXSI expôs informações internas deliberadamente, por que removeu dados depois que o Ars questionou a empresa ou se avisaria clientes cujas informações também poderiam ter sido expostas. A reportagem não informa quantas pessoas visualizaram ou baixaram os dados.

## Compartilhar links pode trazer riscos semelhantes

O Ars afirma que criadores de apps de serviços como Lovable, Bolt e Replit também atribuem endereços web aos apps, o que pode expor esses endereços por meio de registros DNS. Aprozper disse que foi no Grok que encontrou os dados empresariais mais sigilosos; a reportagem não diz que os outros serviços usam a configuração de compartilhamento padrão do Grok.

Alguns outros serviços de IA estruturam os links de compartilhamento de outra forma. Os artefatos do Claude, as conversas compartilhadas do ChatGPT e os links do Gemini incluem o segredo aleatório no caminho da URL, que não é revelado pelo DNS. O Ars recomenda que usuários do Grok Build escolham “invite others”, a menos que pretendam deixar um app amplamente acessível.

## Os fatos

- A busca em DNS passivo de Aprozper encontrou 43,601 links terminados em grok.me.
- O Ars afirma que mais de 35,000 links eram públicos e também descreve esse total como quase 95 por cento; os números não correspondem matematicamente.
- As opções de compartilhamento informadas do Grok Build eram “Anyone with the link”, “invited users” e “only you”.
- Um representante da Cursor contestou a conclusão de Aprozper de que o acesso por qualquer pessoa com o link era a opção padrão.

## Por que importa

Quem usa o Grok Build para armazenar informações de trabalho deve conferir a configuração de compartilhamento de cada app e escolher “invited users” ou “only you” se não quiser que ele fique amplamente acessível. O Ars informa que dados empresariais sigilosos foram expostos, mas não determina quantas pessoas os acessaram nem se dados de outros usuários também foram afetados.

## Fontes e referências

1. [Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI](https://arstechnica.com/security/2026/11/grok-build-coding-agent-leaks-oodles-of-confidential-info-some-belonging-to-spacexsi/) – Ars Technica, 2026-11-10

Última atualização: 2026-11-10