O Grok Build foi projetado para tornar rápida a criação e o compartilhamento de aplicativos. Mas pesquisadores da empresa de segurança Claroc afirmam que essa conveniência se transformou em uma ampla exposição de dados, deixando milhares de aplicativos — e as informações empresariais dentro deles — acessíveis a qualquer pessoa que obtivesse seus links.¹

O problema começou com a arquitetura de compartilhamento de links do Grok Build. O serviço usava “palavras de dado” geradas aleatoriamente em subdomínios como cinder-crane-sand-frost.grok.me, com a intenção de tornar as URLs difíceis de adivinhar. No entanto, como esse elemento aleatório aparecia antes do domínio, em vez de no caminho da URL, bancos de dados de DNS passivo podiam catalogar os endereços. A Claroc afirmou que uma busca encontrou 43.601 links grok.me, dos quais mais de 35.000 abriam aplicativos acessíveis publicamente.¹

Entre o material exposto estavam registros de exames médicos, listas de funcionários, dados de vendas, propostas para clientes e informações ligadas a uma empreiteira de defesa. A descoberta foi especialmente constrangedora para a SpaceXSI: a Claroc identificou 24 aplicativos aparentemente criados pela própria empresa, incluindo propostas de publicidade, informações sobre territórios de vendas e um documento marcado como plano confidencial de integração. “Ficamos chocados”, disse a empresa, argumentando que o material interno estava disponível “para qualquer pessoa que tivesse o link”.¹

Cronologia: Na noite de segunda-feira, a Claroc encontrou todos os 24 aplicativos da SpaceXSI expondo informações. Depois que a Ars Technica enviou perguntas, a SpaceXSI começou a remover os links em poucas horas; até a publicação, esses aplicativos retornavam erros de “aplicativo não encontrado”.¹ Um relatório separado também afirmou que a empresa não respondeu imediatamente a um pedido de comentário.²

A posição da SpaceXSI, transmitida por um representante da Cursor, é que “os aplicativos são privados por padrão e nada se torna público a menos que o criador escolha compartilhá-lo”. Os testes da Claroc contestam diretamente essa versão: os pesquisadores disseram que o Grok Build usava por padrão a opção “Qualquer pessoa com o link”, exigindo que os usuários mudassem ativamente para “usuários convidados” ou “somente você”.¹

O episódio é um alerta que vai além de um único produto. Outros criadores de aplicativos de IA também criam endereços da web que podem ser expostos por meio de DNS, afirmou a Claroc, embora o Grok Build tenha sido onde encontrou os dados corporativos mais sensíveis. Para os usuários, a lição imediata é direta: um link compartilhável não é a mesma coisa que controle de acesso.¹