# Claroc hittar 35 578 Grok-appar som kan öppnas utan inloggning

> Enligt säkerhetsföretaget exponerade vissa publicerade Grok-appar patientuppgifter, lösenord och företagsdokument. SpaceXSI har tagit bort 24 appar skapade av anställda.

Oossa · 2026-11-11 · https://oossa.com/sv/claroc-finds-35-578-grok-built-apps-open-without-login

Säkerhetsföretaget Claroc uppger att det hittade 35 578 appar byggda med Grok som vem som helst kunde öppna utan att logga in. Det motsvarade 94,7 procent av de 37 571 appar som företaget kontrollerade och som fortfarande var online. Vissa innehöll patientuppgifter, lösenord i klartext och konfidentiella affärsdokument, bland annat material från Groks skapare SpaceXSI.

Med Groks Build-läge kan användare beskriva en app i en chatt och låta assistenten skriva koden. Appen blir offentlig när skaparen publicerar den på grok.me. På det betalkonto som Claroc använde var ”Alla med länken” redan valt i publiceringsdialogen. Företaget uppger också att appnamn gick att hitta via sökbara passiva DNS-databaser, som registrerar domännamn när de besöks.

## Vad exponerades?

Claroc uppskattar att 650 till 800 appar innehöll privata uppgifter. Bland de bekräftade exemplen fanns en genomgång för en intensivvårdsavdelning med en patients provsvar, en sjukhusgrupps lista över fler än 3 500 anställda och ett arbetsschema för en brandkår. Källkoden till en app för tidrapportering innehöll 18 konton med lösenord lagrade i klartext. Claroc uppger att ungefär var tionde app som gick att komma åt innehöll känsliga, interna eller personliga uppgifter, medan omkring 2 procent var särskilt allvarliga.

Företaget hittade också 24 appar som gick att komma åt och som skapats av anställda på SpaceXSI och X. Bland dem fanns en introduktionsplan med interna systemadresser och chattkanaler, en försäljningskarta med 594 strategiska kunder och konfidentiella reklamförslag. Claroc uppger att det hittade berörda appar hos 30 andra organisationer, däribland sex Fortune 500-företag, men namnger dem inte.

Två av Clarocs egna testappar hade problem utöver att de var offentligt delade. Den ena hade en databas där anonyma besökare kunde lägga till kontakter. I en annan lade kod som genererats av Grok till alla inloggade besökare i teamet innan den kontrollerade om de hade rätt att vara där. Det gjorde det möjligt för ett externt konto att läsa, ändra och ta bort uppgifter. Claroc säger att företaget endast testade att skriva och radera i sina egna appar.

## Vad händer nu?

SpaceXSI uppger att appar förblir privata tills skaparna delar dem, att publiceringen består av flera steg och att anställdas konton som standard är inställda på ”Bara du”. Claroc säger att det inte hindrar exponering om det sista publiceringssteget ändå har åtkomst för alla med länken förvalt. Företaget rekommenderar att privat åtkomst blir standard och att användare varnas när en app har en databas men saknar inloggning.

SpaceXSI har tagit sina 24 appar skapade av anställda offline, men Claroc uppger att andra exponerade appar fortfarande går att komma åt. Eftersom företaget inte har lovat att kontakta ägarna säger Claroc att det underrättar dem direkt. Claroc säljer säkerhetsprodukter för appar byggda med AI, något som är värt att ha i åtanke när företagets resultat bedöms. Händelsen följer på tidigare integritetsproblem med Grok och liknar problem som Claroc har rapporterat med delningsfunktioner hos Meta och Anthropic.

## Fakta

- Claroc kontrollerade 37 571 Grok-appar som fortfarande var online och hittade 35 578 som gick att komma åt utan inloggning.
- Enligt Claroc utgjorde de 35 578 apparna som gick att komma åt 94,7 procent av urvalet.
- Claroc uppskattar att 650 till 800 appar innehöll privata uppgifter.
- Claroc hittade 24 appar som gick att komma åt och som skapats av anställda på SpaceXSI och X; SpaceXSI har sedan dess tagit apparna offline.
- Claroc uppger att det hittade berörda appar hos 30 andra organisationer, däribland sex Fortune 500-företag.

## Varför det spelar roll

Den som publicerar en app byggd med Grok kan exponera dess innehåll även om åtkomsten var tänkt att vara begränsad, och vissa appar kan innehålla personliga uppgifter eller företagsinformation. SpaceXSI har tagit bort sina anställdas appar, men enligt Claroc går andra exponerade appar fortfarande att komma åt. Det är oklart om deras ägare har underrättats eller om åtkomstinställningarna kommer att ändras.

## Källor och referenser

1. [Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline](https://the-decoder.com/grok-built-apps-exposed-patient-data-plaintext-passwords-and-spacexsis-own-sales-pipeline/) – The Decoder, 2026-11-11

Senast uppdaterad: 2026-11-11