Grok Build è stato progettato per rendere rapida la creazione e la condivisione di app. Ma i ricercatori della società di sicurezza Claroc affermano che quella comodità si è trasformata in un’ampia esposizione di dati, lasciando migliaia di app — e le informazioni aziendali al loro interno — accessibili a chiunque ottenesse i relativi link.¹

Il problema è iniziato con l’architettura di condivisione dei link di Grok Build. Il servizio utilizzava “parole dei dadi” generate casualmente in sottodomini come cinder-crane-sand-frost.grok.me, con l’intento di rendere gli URL difficili da indovinare. Tuttavia, poiché l’elemento casuale appariva prima del dominio anziché nel percorso dell’URL, i database DNS passivi potevano catalogare gli indirizzi. Claroc ha dichiarato che una ricerca ha trovato 43.601 link grok.me, di cui oltre 35.000 aprivano app accessibili pubblicamente.¹

Tra il materiale esposto figuravano cartelle cliniche, elenchi del personale, dati di vendita, proposte per clienti e informazioni legate a un appaltatore della difesa. La scoperta è stata particolarmente imbarazzante per SpaceXSI: Claroc ha identificato 24 app apparentemente create dalla stessa azienda, comprese proposte pubblicitarie, informazioni sui territori di vendita e un documento contrassegnato come piano di onboarding riservato. «Siamo rimasti scioccati», ha dichiarato la società, sostenendo che il materiale interno fosse stato disponibile «a chiunque avesse il link».¹

Cronologia: Lunedì sera, Claroc ha scoperto che tutte e 24 le app di SpaceXSI esponevano informazioni. Dopo che Ars Technica ha inviato delle domande, SpaceXSI ha iniziato a rimuovere i link nel giro di poche ore; al momento della pubblicazione, tali app restituivano errori «app non trovata».¹ Un rapporto separato ha analogamente affermato che l’azienda non ha risposto immediatamente a una richiesta di commento.²

La posizione di SpaceXSI, riferita da un rappresentante di Cursor, è che «le app sono private per impostazione predefinita e nulla diventa pubblico a meno che il creatore non scelga di condividerlo». I test di Claroc contestano direttamente questa versione: i ricercatori hanno affermato che Grok Build impostava come predefinita l’opzione «Chiunque abbia il link», richiedendo agli utenti di passare attivamente a «utenti invitati» o «solo tu».¹

L’episodio è un avvertimento che va oltre un singolo prodotto. Anche altri strumenti di creazione di app IA generano indirizzi web che potrebbero essere esposti tramite DNS, ha affermato Claroc, sebbene Grok Build sia stato quello in cui ha trovato i dati aziendali più sensibili. Per gli utenti, la lezione immediata è netta: un link condivisibile non equivale a un controllo degli accessi.¹