Resumo
- Mais de 35 mil aplicativos criados no Grok Build tiveram dados confidenciais expostos na internet, incluindo informações médicas e comerciais.
- Os aplicativos expostos pertenciam a empresas da Fortune 500 e organizações dos setores de saúde, defesa e infraestrutura.
- A exposição foi causada por uma configuração inadequada de compartilhamento e links previsíveis gerados pelo Grok Build.
Mais de 35 mil aplicativos criados no Grok Build estavam acessíveis na internet, expondo informações que iam de exames médicos a propostas comerciais, além de 24 documentos da própria SpaceX. Entre os projetos encontrados havia sistemas usados por empresas da lista Fortune 500 e organizações ligadas aos setores de saúde, defesa e infraestrutura.
A exposição foi identificada pela empresa de cibersegurança Claroc e revelada pelo ArsTechnica. O problema resultava da estrutura dos links criados pelo agente de programação e a forma como o compartilhamento era configurado. Links podiam ser encontrados em bases públicas de DNS e, uma vez abertos, davam acesso aos aplicativos e, em alguns casos, aos bancos de dados deles.
Aplicativos apresentavam informações confidenciais
Entre os aplicativos estavam um painel de saúde ocupacional, de uma construtora peruana, com mais de 3 mil exames médicos de trabalhadores. Outro, ligado à Tesla, mostrava o desempenho de 22 técnicos de um centro de serviços.
Havia inclusive dados pessoas. Em um deles, um sistema usado por uma empresa de cruzeiros de luxo mantinha um checklist de cozinha com os nomes completos e números de identificação de tripulantes. Em outro, uma construtora dos Estados Unidos mantinha uma planilha com cerca de 583 potenciais compradores de imóveis.
O Grok não é o primeiro serviço de inteligência artificial a expor informações de usuários na internet. No ano passado, a OpenAI precisou revisar a função de compartilhamento de conversas após links gerados pela plataforma serem indexados pelo Google.
Links “aleatórios” podiam ser rastreados
O Grok Build permite criar aplicativos a partir de comandos em texto ou voz e publicá-los rapidamente para testes ou uso interno. Quando um projeto é compartilhado, a plataforma gera um endereço composto por palavras aleatórias.
A combinação parece funcionar como um código. Sem conhecer aquelas palavras, seria improvável chegar ao aplicativo por tentativa e erro. No entanto, segundo o ArsTechnica, os domínios apareciam em serviços de DNS passivo, bases que registram domínios observados na internet.
Foi pesquisando esses registros que Asaf Aprozper, cofundador e CTO da Claroc, conseguiu levantar dezenas de milhares de endereços do Grok Build. Segundo ele, os links sozinhos não deveria permitir a abertura dos projetos, mas, aparentemente, o agente da empresa de Elon Musk adotava como padrão a opção de que “qualquer pessoa com o link” possa abrir o documento.
Para restringir a visualização a usuários convidados ou apenas ao próprio criador, era necessário alterar manualmente a configuração.
SpaceX removeu acesso a projetos próprios
A Claroc encontrou até mesmo 24 aplicativos da SpaceX disponíveis pela internet. Entre eles havia um plano confidencial de integração para um novo integrante da equipe de vendas e um mapa de territórios com informações sobre 594 contas.
Outros projetos revelavam endereços de sistemas internos e propostas de anúncios no X. Para a Claroc, os casos mostram como ferramentas de vibe coding podem levar aplicações internas para a internet sem passar por controles corporativos.
A empresa de segurança afirma ter comunicado a SpaceX sobre o problema no domingo (08/11), mas não recebeu resposta. De acordo com o Ars Technica, a empresa removeu o acesso aos projetos internos após procurarem a companhia para comentar a reportagem. Os projetos de terceiros, porém, continuaram acessíveis.
