Claroc обнаружила 35 578 приложений Grok, доступных без входа в систему. Всего исследователи нашли 37 571 опубликованное приложение. Большинство оказались играми, страницами-визитками и калькуляторами, но примерно в каждом десятом приложении с открытым доступом хранились внутренние рабочие или личные данные. Около 2% таких приложений содержали информацию, которую исследователи оценили как представляющую высокий или критический риск. Результаты они опубликовали «вчера»; календарную дату публикации не указали.
Среди находок были 24 приложения сотрудников социальной сети X и SpaceXSI, компании, выпускающей ИИ-помощника Grok и ранее известной как xAI. В них обнаружили конфиденциальный план адаптации нового сотрудника отдела продаж, карту продажных территорий с 594 клиентами и помеченное как конфиденциальное рекламное предложение X для федерального ведомства США. К моменту публикации SpaceXSI отключила все 24 приложения своих сотрудников, но другие найденные приложения пользователей оставались доступны.
Исследователи нашли внутренние материалы ещё 30 организаций из строительной отрасли, энергетики, здравоохранения и оборонного сектора. У 26 компаний было больше 1 000 сотрудников, шесть входили в список Fortune 500. Среди открытых данных оказались база больничной группы с поиском по более чем 3 500 сотрудникам, справка о пациенте отделения интенсивной терапии и действующее расписание смен пожарной службы. В коде табеля подрядчика были записаны пароли всех сотрудников в открытом виде.
Grok умеет собирать работающее приложение по описанию в чате. 19 августа компания открыла эту функцию для пользователей всех тарифных планов. Её называют Grok Build, как и отдельный инструмент для программирования в терминале; о загрузке материалов в его репозиторий сообщалось 14 июля. Каждое опубликованное приложение получает собственный поддомен в . Согласно анонсу запуска, автор сам выбирает, кто сможет открыть страницу, а приложение становится доступным только после нажатия кнопки «Опубликовать».
В платном аккаунте, который использовали исследователи, на экране публикации были три варианта: «Любой, у кого есть ссылка», «Приглашённые пользователи» и «Только вы». По умолчанию уже был выбран первый. Ссылка при этом не обязательно остаётся секретной: при открытии страницы компьютер обращается к системе доменных имён DNS, а сервисы пассивного DNS сохраняют такие запросы. Пользователи этих сервисов могут искать адреса по шаблонам. Поэтому сложное имя поддомена не спасает, если оно уже попало в поисковую базу. Claroc нашла приложения стандартными методами обнаружения поддоменов и один раз загрузила стартовую страницу каждого, не входя в аккаунт.
Чтобы проверить настройки, исследователи создали два тестовых приложения с вымышленными данными и оставили выбранным режим «Любой, у кого есть ссылка». В первом Grok создал базу контактов без входа в систему. Открыв приложение в приватном окне, исследователи добавили строку без авторизации; следующий посетитель смог её увидеть.
Второе приложение было списком клиентов команды продаж из четырёх человек. Grok добавил кнопки входа через Google и X, однако в написанном им коде пользователь сначала добавлялся в команду, а уже затем проверялось его членство. Проверка поэтому всегда проходила. Не приглашённый Google-аккаунт человека, не связанного с владельцем приложения, открыл базу, просмотрел всех клиентов, изменил одну запись и удалил другую. Эти проверки проводились только на собственных тестовых приложениях исследователей: они не пытались менять найденные чужие приложения.
В воскресенье Claroc сообщила SpaceXSI о результатах через адрес из файла security.txt и приложила сведения о двух приложениях сотрудников. Оставшиеся 22 были отправлены в понедельник. К публикации компания не ответила на первоначальное сообщение исследователей, но прокомментировала работу журналисту. SpaceXSI заявила, что приложения остаются закрытыми, пока автор не поделится ими, а публикация требует нескольких действий: выбора между режимами «Только вы» и «Любой, у кого есть ссылка» и согласия с юридическим предупреждением. Учётные записи сотрудников, по словам компании, по умолчанию настроены на «Только вы». Исследователи, однако, нашли 24 приложения сотрудников SpaceXSI и X, доступных всем по ссылке. Они попросили сделать закрытый режим настройкой по умолчанию и добавить ограничение доступа для пользователей с корпоративным адресом. Ответ компании не уточнял, свяжется ли она с владельцами остальных открытых приложений. Исследователи сами начали предупреждать организации и к моменту публикации написали трём; названия и адреса приложений в отчёте не раскрыли.
Ранее, 18 октября, та же команда сообщила, что страницы, созданные ИИ-агентом М⃰ Muse, можно обнаружить через пассивный DNS. М⃰ отключила возможность делиться ими, а 22 октября объявила об исправлении: общим страницам стали присваивать новые адреса.
Claroc советует компаниям начать с проверки того, какими конструкторами приложений пользуются сотрудники. Помимо Grok, в их числе Lovable, Replit, v0, Bolt, Base44 и Google AI Studio: такие сервисы могут работать без настройки со стороны ИТ-отдела и без корпоративной учётной записи. Затем стоит поискать домены конструкторов в данных пассивного DNS, если они доступны, и открыть найденные страницы в приватном окне. Для приложений с внутренними данными нужно проверить права доступа, выбрать «Приглашённые пользователи» или «Только вы» и убедиться, что посторонний видит страницу с ошибкой. Вход следует испытать аккаунтом вне компании; если он проходит, приложению нужен явный список разрешённых пользователей. Наконец, надо проверить скрипты на имена, адреса электронной почты и пароли, а приложения без ответственного владельца снять с публикации. В тестах Claroc режим «Только вы» возвращал постороннему ошибку 401 и для страницы, и для данных; после отмены публикации приложение исчезало из сети за несколько секунд.
Изображение носит иллюстративный характер
Среди находок были 24 приложения сотрудников социальной сети X и SpaceXSI, компании, выпускающей ИИ-помощника Grok и ранее известной как xAI. В них обнаружили конфиденциальный план адаптации нового сотрудника отдела продаж, карту продажных территорий с 594 клиентами и помеченное как конфиденциальное рекламное предложение X для федерального ведомства США. К моменту публикации SpaceXSI отключила все 24 приложения своих сотрудников, но другие найденные приложения пользователей оставались доступны.
Исследователи нашли внутренние материалы ещё 30 организаций из строительной отрасли, энергетики, здравоохранения и оборонного сектора. У 26 компаний было больше 1 000 сотрудников, шесть входили в список Fortune 500. Среди открытых данных оказались база больничной группы с поиском по более чем 3 500 сотрудникам, справка о пациенте отделения интенсивной терапии и действующее расписание смен пожарной службы. В коде табеля подрядчика были записаны пароли всех сотрудников в открытом виде.
Grok умеет собирать работающее приложение по описанию в чате. 19 августа компания открыла эту функцию для пользователей всех тарифных планов. Её называют Grok Build, как и отдельный инструмент для программирования в терминале; о загрузке материалов в его репозиторий сообщалось 14 июля. Каждое опубликованное приложение получает собственный поддомен в . Согласно анонсу запуска, автор сам выбирает, кто сможет открыть страницу, а приложение становится доступным только после нажатия кнопки «Опубликовать».
В платном аккаунте, который использовали исследователи, на экране публикации были три варианта: «Любой, у кого есть ссылка», «Приглашённые пользователи» и «Только вы». По умолчанию уже был выбран первый. Ссылка при этом не обязательно остаётся секретной: при открытии страницы компьютер обращается к системе доменных имён DNS, а сервисы пассивного DNS сохраняют такие запросы. Пользователи этих сервисов могут искать адреса по шаблонам. Поэтому сложное имя поддомена не спасает, если оно уже попало в поисковую базу. Claroc нашла приложения стандартными методами обнаружения поддоменов и один раз загрузила стартовую страницу каждого, не входя в аккаунт.
Чтобы проверить настройки, исследователи создали два тестовых приложения с вымышленными данными и оставили выбранным режим «Любой, у кого есть ссылка». В первом Grok создал базу контактов без входа в систему. Открыв приложение в приватном окне, исследователи добавили строку без авторизации; следующий посетитель смог её увидеть.
Второе приложение было списком клиентов команды продаж из четырёх человек. Grok добавил кнопки входа через Google и X, однако в написанном им коде пользователь сначала добавлялся в команду, а уже затем проверялось его членство. Проверка поэтому всегда проходила. Не приглашённый Google-аккаунт человека, не связанного с владельцем приложения, открыл базу, просмотрел всех клиентов, изменил одну запись и удалил другую. Эти проверки проводились только на собственных тестовых приложениях исследователей: они не пытались менять найденные чужие приложения.
В воскресенье Claroc сообщила SpaceXSI о результатах через адрес из файла security.txt и приложила сведения о двух приложениях сотрудников. Оставшиеся 22 были отправлены в понедельник. К публикации компания не ответила на первоначальное сообщение исследователей, но прокомментировала работу журналисту. SpaceXSI заявила, что приложения остаются закрытыми, пока автор не поделится ими, а публикация требует нескольких действий: выбора между режимами «Только вы» и «Любой, у кого есть ссылка» и согласия с юридическим предупреждением. Учётные записи сотрудников, по словам компании, по умолчанию настроены на «Только вы». Исследователи, однако, нашли 24 приложения сотрудников SpaceXSI и X, доступных всем по ссылке. Они попросили сделать закрытый режим настройкой по умолчанию и добавить ограничение доступа для пользователей с корпоративным адресом. Ответ компании не уточнял, свяжется ли она с владельцами остальных открытых приложений. Исследователи сами начали предупреждать организации и к моменту публикации написали трём; названия и адреса приложений в отчёте не раскрыли.
Ранее, 18 октября, та же команда сообщила, что страницы, созданные ИИ-агентом М⃰ Muse, можно обнаружить через пассивный DNS. М⃰ отключила возможность делиться ими, а 22 октября объявила об исправлении: общим страницам стали присваивать новые адреса.
Claroc советует компаниям начать с проверки того, какими конструкторами приложений пользуются сотрудники. Помимо Grok, в их числе Lovable, Replit, v0, Bolt, Base44 и Google AI Studio: такие сервисы могут работать без настройки со стороны ИТ-отдела и без корпоративной учётной записи. Затем стоит поискать домены конструкторов в данных пассивного DNS, если они доступны, и открыть найденные страницы в приватном окне. Для приложений с внутренними данными нужно проверить права доступа, выбрать «Приглашённые пользователи» или «Только вы» и убедиться, что посторонний видит страницу с ошибкой. Вход следует испытать аккаунтом вне компании; если он проходит, приложению нужен явный список разрешённых пользователей. Наконец, надо проверить скрипты на имена, адреса электронной почты и пароли, а приложения без ответственного владельца снять с публикации. В тестах Claroc режим «Только вы» возвращал постороннему ошибку 401 и для страницы, и для данных; после отмены публикации приложение исчезало из сети за несколько секунд.
