Mais de 35 mil aplicativos criados com o Grok Build ficaram acessíveis na internet, incluindo projetos com informações médicas, comerciais e dados pessoais. A empresa de cibersegurança Claroc identificou os aplicativos; a ArsTechnica revelou o caso. Entre os projetos estavam sistemas usados por empresas da Fortune 500 e organizações dos setores de saúde, defesa e infraestrutura.
O Grok Build cria aplicativos a partir de comandos de texto ou voz e permite compartilhá-los para testes ou uso interno. O problema envolvia tanto os endereços gerados pela ferramenta quanto as permissões de acesso. Embora os links parecessem difíceis de adivinhar, registros públicos de DNS passivo — que guardam domínios observados na internet — permitiram encontrá-los.
O que ficou exposto?
Segundo a Claroc, os endereços encontrados podiam abrir os aplicativos e, em alguns casos, seus bancos de dados. A configuração padrão aparentemente permitia que qualquer pessoa com o link acessasse o projeto. Para restringir a visualização a convidados ou apenas ao criador, era preciso mudar a opção manualmente.
Entre os exemplos havia um painel de saúde ocupacional de uma construtora peruana com mais de 3 mil exames médicos de trabalhadores. Um aplicativo ligado à Tesla exibia o desempenho de 22 técnicos. Um sistema de uma empresa de cruzeiros de luxo mostrava nomes completos e números de identificação de tripulantes; uma planilha de uma construtora dos Estados Unidos listava cerca de 583 possíveis compradores de imóveis.
Projetos da SpaceX também apareceram
A Claroc encontrou 24 aplicativos da SpaceX. Entre eles havia um plano confidencial de integração para um novo integrante da equipe de vendas e um mapa de territórios com informações sobre 594 contas. Outros projetos revelavam endereços de sistemas internos e propostas de anúncios no X.
A Claroc afirma ter avisado a SpaceX em 8 de novembro, mas não recebeu resposta. Segundo a ArsTechnica, a empresa retirou o acesso aos próprios projetos depois de ser procurada para comentar o caso. Projetos de terceiros continuaram acessíveis. O episódio segue um problema anterior de compartilhamento de conversas da OpenAI: links da plataforma foram indexados pelo Google, levando a empresa a revisar a função.
Por que importa
Para empresas que usam o Grok Build em projetos internos, a configuração de compartilhamento pode determinar se dados de funcionários, clientes ou operações ficam acessíveis a quem obtiver o link. A Claroc encontrou aplicativos expostos e a SpaceX retirou o acesso aos próprios projetos, mas o caso não esclarece quantas pessoas abriram os demais aplicativos.
