Story
12. Nov. 2026
Die „privaten“ Apps von Grok Build waren für jeden zugänglich, der den Link fand
Sicherheitsforscher stellen das Freigabesystem von Grok Build als standardmäßig gefährlich offen dar, während SpaceXSI daran festhält, dass Ersteller sich dafür entscheiden müssen, eine App zu teilen. Der Streit dreht sich um eine grundlegende Frage mit weitreichenden Folgen: ob ein schwer erratbarer Link einen sinnvollen Schutz darstellt, wenn er systematisch entdeckt werden kann.
Grok Build wurde entwickelt, um das Erstellen und Teilen von Apps schnell zu machen. Doch Forscher der Sicherheitsfirma Claroc sagen, dass diese Bequemlichkeit zu einer weitreichenden Datenoffenlegung führte und Tausende von Apps — sowie die darin enthaltenen Geschäftsinformationen — für jeden erreichbar machte, der ihre Links erhielt.1
Das Problem begann mit der Architektur zur Linkfreigabe von Grok Build. Der Dienst verwendete zufällig generierte „Würfelwörter“ in Subdomains wie cinder-crane-sand-frost.grok.me, die URLs schwer erratbar machen sollten. Da dieses Zufallselement jedoch vor der Domain statt im URL-Pfad erschien, konnten passive DNS-Datenbanken die Adressen katalogisieren. Claroc erklärte, eine Suche habe 43.601 grok.me-Links gefunden, von denen mehr als 35.000 öffentlich zugängliche Apps öffneten.1
Zu den offengelegten Materialien gehörten medizinische Untersuchungsunterlagen, Mitarbeiterlisten, Vertriebsdaten, Kundenvorschläge und Informationen mit Bezug zu einem Rüstungsauftragnehmer. Besonders unerquicklich war der Fund für SpaceXSI: Claroc identifizierte 24 Apps, die offenbar vom Unternehmen selbst erstellt worden waren, darunter Werbevorschläge, Informationen zu Vertriebsgebieten und ein Dokument, das als vertraulicher Einarbeitungsplan gekennzeichnet war. „Wir waren schockiert“, erklärte die Firma und argumentierte, dass internes Material „für jeden verfügbar gewesen sei, der den Link hatte“. 1
Zeitleiste: Am Montagabend stellte Claroc fest, dass alle 24 SpaceXSI-Apps Informationen preisgaben. Nachdem Ars Technica Fragen geschickt hatte, begann SpaceXSI innerhalb weniger Stunden damit, die Links zu entfernen; zum Zeitpunkt der Veröffentlichung lieferten diese Apps Fehler vom Typ „App nicht gefunden“ zurück.1 Ein separater Bericht erklärte ebenfalls, dass das Unternehmen auf eine Bitte um Stellungnahme nicht umgehend reagierte.2
Die von einem Cursor-Vertreter übermittelte Position von SpaceXSI lautet, dass „Apps standardmäßig privat sind und nichts öffentlich wird, es sei denn, der Ersteller entscheidet sich dafür, es zu teilen“. Die Tests von Claroc stellen diese Darstellung direkt infrage: Die Forscher sagten, Grok Build habe standardmäßig „Jeder mit dem Link“ eingestellt, sodass Nutzer aktiv auf „eingeladene Nutzer“ oder „nur Sie“ umstellen mussten.1
Der Vorfall ist eine Warnung, die über ein einzelnes Produkt hinausgeht. Auch andere KI-App-Builder erstellen Webadressen, die möglicherweise über DNS offengelegt werden, erklärte Claroc, obwohl Grok Build der Dienst war, bei dem die Firma die sensibelsten Unternehmensdaten fand. Für Nutzer ist die unmittelbare Lehre eindeutig: Ein teilbarer Link ist nicht dasselbe wie Zugriffskontrolle.1