Em 10 de novembro de 2026, a Claroc informou que 35.578 de 37.571 aplicativos do Grok Build que estavam no ar durante sua análise abriam sem login — 94,7% da amostra. A empresa de segurança estimou separadamente quantos apps continham informações sensíveis, empresariais internas ou pessoais, e também testou falhas de autorização em dois aplicativos próprios, criados com dados inventados. (relatório da Claroc)
A contagem mede o acesso sem login; a estimativa da Claroc situa conteúdo sensível em cerca de uma a cada dez aplicações abertas.
O que a contagem da Claroc representa
Na etapa de identificação, a Claroc encontrou 43.601 nomes sob grok.me. Depois, tentou 43.551 endereços de aplicativos e encontrou 37.571 ainda no ar. Entre esses, 35.578 abriram sem autenticação; os outros 1.993 retornaram erro HTTP 401.
Esses números descrevem etapas diferentes da coleta. O resultado de 94,7% tem como denominador os 37.571 apps que estavam no ar, não todos os nomes identificados nem todos os endereços tentados.
A Claroc encontrou 24 aplicativos abertos criados por funcionários da SpaceXSI e da X. Entre os exemplos estavam um plano confidencial de integração de funcionários e um mapa comercial com 594 contas estratégicas. A empresa também relatou dados internos de outras 30 organizações; 26 tinham mais de mil funcionários e seis faziam parte da Fortune 500.
Dados sensíveis apareceram em uma parte dos apps
A Claroc estimou que cerca de uma em cada dez aplicações abertas continha informações sensíveis, empresariais internas ou pessoais. Em torno de 2% tinham conteúdo classificado pela empresa como de gravidade alta ou crítica. As estimativas combinaram triagem automatizada, revisão manual e análise de amostras.
Entre os casos que disse ter confirmado manualmente, a Claroc descreveu uma lista pesquisável com mais de 3.500 funcionários de um grupo hospitalar e um sistema de controle de horas de um prestador cujo script expunha senhas em texto simples de 18 contas de funcionários, incluindo contas administrativas.
Por que nomes de host podem aparecer no DNS passivo
O endereço de cada app publicado com o Grok Build tinha um nome de host próprio sob grok.me, segundo a Claroc. Quando um nome de host é consultado pelo DNS, a consulta pode ser coletada por serviços de DNS passivo e entrar em índices pesquisáveis. Um nome aleatório, portanto, ainda pode ser encontrado por esse caminho.
A posição de um identificador na URL muda o que uma consulta DNS revela. O DNS vê o nome do host, mas não o caminho que vem depois do domínio. A Claroc ressalva que buscadores e ferramentas de verificação de links ainda podem expor endereços com identificadores secretos no caminho.
| Estrutura do link | O que o DNS pode ver | Exposição adicional descrita pela Claroc |
| Nome de host próprio para cada aplicativo | O host consultado pode aparecer em índices de DNS passivo. | O nome pode ser pesquisável mesmo quando contém palavras aleatórias. |
| Identificador secreto no caminho da URL | O DNS não vê o caminho. | Buscadores e ferramentas que verificam links ainda podem revelar o endereço. |
O que os testes controlados demonstraram
A Claroc testou duas aplicações próprias com dados inventados. Em uma, uma pessoa sem login conseguiu adicionar um contato. Na outra, uma conta Google que não havia sido convidada pôde visualizar, alterar e apagar registros de clientes.
A empresa afirmou que não entrou em aplicativos de terceiros, não enviou formulários deles nem modificou seus dados. Os testes de escrita e autorização descrevem o comportamento das duas aplicações criadas pela Claroc, não o de todos os apps acessíveis sem login.
Configurações de acesso e resposta
Na conta paga usada pela Claroc, a opção de permitir acesso a qualquer pessoa com o link aparecia pré-selecionada. Separadamente, a Claroc informou que a SpaceXSI disse a um jornalista que as contas de funcionários começavam com acesso restrito a quem criou o app. Um representante da Cursor também disse à Ars Technica que os aplicativos eram privados por padrão. Os relatos tratam de contextos de conta distintos.
A Claroc disse que notificou a SpaceXSI em 8 de novembro de 2026 e que, no dia seguinte, comunicou à empresa 22 aplicativos adicionais criados por funcionários da SpaceXSI e da X. Em seu relatório, publicado em 10 de novembro, a Claroc afirmou que a SpaceXSI havia retirado do ar os 24 aplicativos de funcionários que identificara; naquele dia, outros apps de usuários ainda estavam abertos.
Entre as mudanças que propôs para o Grok Build, a Claroc incluiu hospedar apps compartilhados em caminhos difíceis de adivinhar sob um mesmo host, permitir restrições a domínios de e-mail de organizações, definir o acesso privado como padrão e mostrar quem poderia abrir o app antes da publicação. Também sugeriu alertas para aplicativos com banco de dados e sem login.
