Výskum Claroc: aplikácie z Grok Build boli dostupné bez prihlásenia

Grok Build aplikácie mohli byť vo veľkom rozsahu dostupné bez prihlásenia cez verejne dohľadateľné adresy na doméne grok.me. Vyplýva to z výskumu firmy Claroc zverejneného 10. novembra 2026. Výskumníci tvrdia, že medzi vystavenými aplikáciami našli aj 24 nástrojov vytvorených pracovníkmi SpaceXSI a X. Nejde však o potvrdený prienik do systémov týchto spoločností ani o potvrdené hromadné zneužitie dát.

Claroc otestoval 43 551 adries pod doménou grok.me. Aktívnych bolo podľa výskumu 37 571 a 35 578 z nich, teda 94,7 percenta aktívnych adries, sa otvorilo bez autentifikácie. Tieto čísla pochádzajú z metodiky Claroc a neboli nezávisle reprodukované.

Grok Build aplikácie a nastavenie prístupu

Grok Build je nástroj na rýchlu tvorbu aplikácií. Oficiálny materiál SpaceXSI uvádza, že publikovaná aplikácia dostane vlastnú adresu na doméne grok.me. Autor pri publikovaní volí prístup v režime „len ja“, „ktokoľvek s odkazom“ alebo verejný prístup.

Práve voľba „ktokoľvek s odkazom“ je v tomto prípade podstatná. Náhodne pôsobiaca URL sama osebe nepredstavuje spoľahlivú ochranu, ak možno jej názov dohľadať napríklad prostredníctvom DNS. Prístup bez prihlásenia zároveň znamená, že dostupnosť aplikácie neurčuje len to, či má používateľ účet, ale aj pravidlá autorizácie nastavené pri jej zdieľaní.

Claroc tvrdí, že pri publikovaní z jeho plateného účtu bolo predvolené nastavenie „Anyone with the link“. Podľa výskumníkov SpaceXSI uviedlo, že aplikácie zostávajú súkromné, kým ich autor nezdieľa, a pri zamestnaneckých účtoch má byť predvolené „Only you“. Tento rozpor pri bežných účtoch nie je nezávisle uzavretý.

Interné nástroje SpaceXSI a X boli po nahlásení stiahnuté

Výskumníci uviedli, že 24 verejne dostupných aplikácií vytvorili pracovníci SpaceXSI a X. Po nahlásení mali byť tieto aplikácie stiahnuté. Sekundárne o odstránení odkazov na interné aplikácie po otázkach redakcie informoval aj Ars Technica.

Claroc zároveň zdôrazňuje hranice svojho testovania. Expozíciu demonštroval na dvoch vlastných testovacích aplikáciách a netvrdí, že zapisoval dáta alebo sa prihlasoval do aplikácií tretích strán. Výskum preto nie je dôkazom kompromitácie infraštruktúry SpaceXSI či X.

Firma odhaduje, že 650 až 800 vystavených aplikácií mohlo obsahovať citlivé údaje. Aj tento odhad je tvrdením Claroc, ktoré zatiaľ neprešlo nezávislým overením. Nie je potvrdené ani to, či k citlivým dátam pred zverejnením výskumu pristúpila iná osoba alebo organizácia.

Čo majú používatelia Grok Build preveriť

Pre organizácie používajúce Grok Build aplikácie zistenia znamenajú potrebu preveriť pravidlá zdieľania existujúcich publikovaných nástrojov. Aplikácie nastavené na „Anyone with the link“ treba vzhľadom na dohľadateľnosť adries považovať za potenciálne verejné.

• Skontrolovať, ktoré aplikácie majú pridelenú adresu na grok.me.
• Overiť režim prístupu pri každej aplikácii, najmä voľbu „Anyone with the link“.
• Posúdiť, či aplikácie pracujú s internými, osobnými alebo zdravotnými údajmi.
• Pri citlivých nástrojoch obmedziť prístup na režim určený len autorovi alebo inak vhodne spravovaný režim.

Ďalší vývoj bude závisieť od toho, či SpaceXSI zverejní vlastné bezpečnostné oznámenie, upraví predvolené zdieľanie alebo pridá organizačné kontroly prístupu. Otvorené zostáva aj to, či sa potvrdí prístup tretích strán k vystaveným dátam a či dotknuté organizácie urobia prípadné oznámenia regulátorom.

Overené a aktualizované: 11. 11. 2026 15:26