O Grok Build, ferramenta de criação de apps com IA da SpaceXSI (empresa nascida da fusão entre SpaceX e xAI), deixou cerca de 35 mil aplicativos abertos para qualquer pessoa na internet. A descoberta é da empresa de segurança Claroc e foi revelada pela Ars Technica. Entre o que estava exposto há dados médicos, senhas em texto puro e até planos de vendas da própria SpaceXSI.
O que a Claroc encontrou
Os pesquisadores testaram 43.551 endereços de apps do Grok. Desses, 37.571 ainda estavam no ar, e 35.578 (94,7%) abriam sem pedir login, segundo a Claroc. Cerca de 10% dos apps abertos tinham material sensível, e aproximadamente 2% traziam dados de gravidade alta ou crítica.
Entre os exemplos citados pela pesquisa: 3.784 exames médicos de trabalhadores de uma construtora peruana, o painel de desempenho de 22 técnicos de uma oficina da Tesla, a lista de 108 funcionários de uma prestadora da Marinha e uma planilha de ponto com 18 senhas em texto puro. Do lado da SpaceXSI, apareceram um plano de integração de fornecedores e um mapa de 594 contas de clientes.
Como os apps foram descobertos
Cada app publicado no Grok Build ganha um endereço sob o domínio grok.me, montado com palavras aleatórias. A ideia era que só quem recebesse o link conseguisse chegar ao app. O problema é que as consultas de DNS (o sistema que traduz endereços em números) ficam registradas em bases comerciais. Com isso, a Claroc conseguiu listar os endereços por DNS passivo, sem precisar adivinhar nada.
Segundo a pesquisa, a opção marcada por padrão na hora de publicar era “qualquer pessoa com o link”. Os testes da Claroc mostraram que, em alguns apps, visitantes sem login conseguiam até adicionar contatos e alterar registros de clientes.
O que a SpaceXSI diz
A empresa afirma que os apps novos nascem com acesso restrito a “só você”. A Claroc contesta essa versão. A SpaceXSI reconheceu que contas de funcionários publicaram 24 apps de forma aberta. Depois de perguntas da Ars Technica, esses 24 apps saíram do ar em poucas horas.
O Grok Build chegou em beta em julho e foi liberado para todos os planos de assinatura em 19 de agosto, de acordo com o The Deep Dive.
O que muda pra você
O caso serve de alerta para quem cria ferramentas internas com IA. Esses construtores de apps deixam qualquer funcionário publicar um sistema funcionando em minutos, sem passar pela área de TI, e a configuração de privacidade fica na mão de quem clica.
- Se você já publicou algo no Grok Build, confira a configuração de acesso de cada app e troque para “só você” ou para uma lista de pessoas.
- Não guarde senha, dado de cliente nem exame médico em app criado por IA sem login ativo.
- Se a empresa tem gente usando esse tipo de ferramenta, vale mapear o que já foi publicado.
Com informações de Ars Technica, Infobae e The Deep Dive.
Imagem: hacking, cyber, security, de iAmMrRob, via Pixabay (Pixabay Content License).