Grok Build fue diseñado para agilizar la creación y el intercambio de aplicaciones. Pero investigadores de la firma de seguridad Claroc afirman que esa comodidad se convirtió en una amplia exposición de datos, dejando miles de aplicaciones —y la información empresarial dentro de ellas— al alcance de cualquiera que obtuviera sus enlaces.¹

El problema comenzó con la arquitectura para compartir enlaces de Grok Build. El servicio utilizaba “palabras de dados” generadas aleatoriamente en subdominios como cinder-crane-sand-frost.grok.me, con la intención de dificultar la adivinación de las URL. Sin embargo, dado que ese elemento aleatorio aparecía antes del dominio y no en la ruta de la URL, las bases de datos de DNS pasivo podían catalogar las direcciones. Claroc afirmó que una búsqueda encontró 43.601 enlaces de grok.me, y que más de 35.000 abrían aplicaciones accesibles públicamente.¹

Entre el material expuesto había registros de exámenes médicos, listas de empleados, datos de ventas, propuestas para clientes e información vinculada a un contratista de defensa. El hallazgo fue especialmente incómodo para SpaceXSI: Claroc identificó 24 aplicaciones aparentemente creadas por la propia empresa, incluidas propuestas publicitarias, información sobre territorios de ventas y un documento marcado como un plan confidencial de incorporación. «Nos quedamos impactados», dijo la firma, argumentando que el material interno había estado disponible «para cualquiera que tuviera el enlace».¹

Cronología: El lunes por la noche, Claroc descubrió que las 24 aplicaciones de SpaceXSI exponían información. Después de que Ars Technica enviara preguntas, SpaceXSI comenzó a eliminar los enlaces en cuestión de horas; al momento de la publicación, esas aplicaciones devolvían errores de «aplicación no encontrada».¹ Un informe separado también indicó que la empresa no respondió de inmediato a una solicitud de comentarios.²

La postura de SpaceXSI, transmitida por un representante de Cursor, es que «las aplicaciones son privadas de forma predeterminada y nada se hace público a menos que el creador decida compartirlo». Las pruebas de Claroc cuestionan directamente esa versión: los investigadores afirmaron que Grok Build tenía como opción predeterminada «Cualquiera con el enlace», lo que exigía que los usuarios cambiaran activamente a «usuarios invitados» o «solo tú».¹

El episodio es una advertencia que va más allá de un solo producto. Otros creadores de aplicaciones de IA también generan direcciones web que pueden quedar expuestas a través del DNS, afirmó Claroc, aunque Grok Build fue donde encontró los datos corporativos más sensibles. Para los usuarios, la lección inmediata es contundente: un enlace que se puede compartir no equivale a un control de acceso.¹