Il 10 novembre 2026 Claroc ha riferito che 35.578 delle 37.571 app di Grok Build ancora online nella sua verifica si aprivano senza login, pari al 94,7%. La società di sicurezza ha stimato che circa un’app accessibile su dieci contenesse informazioni sensibili, aziendali interne o personali. Il rapporto di Claroc descrive quindi sia l’accessibilità delle app sia le stime sui contenuti trovati: sono due misure diverse.
Che cosa ha contato Claroc
Claroc ha individuato 43.601 nomi host sotto grok.me e ha provato a raggiungere 43.551 indirizzi; 37.571 app risultavano ancora online. Tra queste, 35.578 si aprivano senza autenticazione. Le altre 1.993 restituivano un errore HTTP 401, associato nel rapporto alle impostazioni «Solo tu» o «Utenti invitati».
Claroc ha stimato che circa il 2% delle app accessibili contenesse informazioni classificate come ad alta criticità o critiche. Ha inoltre riferito di aver trovato dati interni di 30 altre organizzazioni. Tra i 24 progetti creati da dipendenti di SpaceXSI e X figuravano un piano riservato per l’inserimento del personale e una mappa commerciale con 594 account strategici.
Perché gli indirizzi potevano essere scoperti
Le app pubblicate avevano nomi host specifici sotto grok.me. Quando un dispositivo cerca un nome host tramite DNS, la richiesta può finire nei registri consultabili da servizi di DNS passivo, che raccolgono e indicizzano queste interrogazioni. Claroc ha osservato che circa metà dei nomi esaminati era formata da quattro parole casuali: un indirizzo difficile da indovinare può comunque diventare ricercabile dopo una richiesta DNS.
| Struttura dell’indirizzo | Che cosa vede il DNS | Altra possibile esposizione descritta da Claroc |
Nome host dedicato, per esempio app.grok.me | Il nome host interrogato | I registri di DNS passivo possono renderlo ricercabile |
| Identificatore nella parte dell’indirizzo dopo il dominio, cioè nel percorso | Il DNS non vede il percorso | Motori di ricerca e strumenti che controllano i link possono esporlo |
Spostare un identificatore segreto nel percorso cambia ciò che compare nelle interrogazioni DNS, ma non impedisce che il link venga trovato tramite altri canali, come l’indicizzazione o gli strumenti di scansione dei link. La protezione dell’app dipende anche dalle regole che stabiliscono chi può accedervi.
Che cosa hanno dimostrato i test controllati
Claroc ha provato le funzioni di scrittura e autorizzazione su due app create dalla stessa società con dati inventati. In una, un visitatore non autenticato poteva aggiungere un contatto; nell’altra, un account Google non invitato poteva visualizzare, modificare e cancellare record di clienti.
Claroc ha dichiarato di non aver effettuato accessi, inviato moduli o modificato dati nelle app di altri utenti. I risultati di scrittura riguardano quindi quelle due app di prova, mentre il conteggio delle app accessibili descrive una verifica distinta. Claroc ha illustrato nel rapporto entrambi gli aspetti.
Un indirizzo difficile da indovinare non sostituisce un controllo degli accessi: un nome host può diventare ricercabile e un’app può aprirsi senza login.
Impostazioni di condivisione e misure proposte
Nel proprio account a pagamento di prova, Claroc ha trovato preselezionata l’opzione «Chiunque abbia il link». Separatamente, Claroc ha riferito che SpaceXSI aveva detto a un giornalista che gli account dei dipendenti partivano da «Solo tu». Le due descrizioni riguardano contesti di account diversi.
Nel rapporto pubblicato il 10 novembre 2026, Claroc ha riferito che SpaceXSI aveva rimosso le 24 app del proprio personale dopo la segnalazione; le app di altri utenti risultavano ancora online alla data della pubblicazione. Claroc ha proposto di ospitare le app condivise sotto un host comune con percorsi difficili da indovinare, consentire restrizioni basate sul dominio aziendale, impostare «Solo tu» come opzione predefinita e mostrare chi può accedere prima della pubblicazione. Ha suggerito anche avvisi per le app con un database ma senza accesso tramite login.
