O Grok Build, ferramenta da SpaceXSI que cria aplicativos a partir de uma descrição em texto, expôs dados confidenciais de milhares de usuários, incluindo documentos internos da própria SpaceXSI, segundo a Ars Technica, o Engadget e a TechRadar.

A falha foi encontrada pela empresa de segurança Claroc. Uma busca em serviços de DNS passivo — que registram publicamente todo endereço já consultado na internet — encontrou 43.601 endereços terminados em "grok.me", o domínio usado pelos apps criados na ferramenta. Mais de 35 mil deles, cerca de 95%, estavam acessíveis a qualquer pessoa, sem exigir login, segundo a Ars Technica e a TechRadar.

Como a falha funciona

Para cada app publicado, o Grok Build gera um endereço com um trecho de palavras aleatórias, pensado para funcionar como os links de compartilhamento do Google Docs: em tese, só quem recebe o link consegue abrir a página. O problema, segundo as três fontes, é que a parte aleatória do endereço fica à esquerda do nome de domínio, e não à direita, como no esquema do Google. Isso permite que ferramentas de DNS passivo capturem e indexem o endereço completo, tornando possível listar milhares de apps sem nunca ter recebido o link original.

Em teoria, o esquema de "palavras de dado" deveria dificultar bastante uma tentativa de adivinhar o endereço: segundo a Ars Technica e o Engadget, a combinação chega a ter cerca de 38 bits de entropia, o equivalente a bilhões de combinações possíveis. Na prática, a posição da parte aleatória no endereço anulou essa proteção, porque as ferramentas de DNS passivo não precisam adivinhar nada — elas apenas leem o que já foi consultado publicamente na internet.

Ao publicar um app, a opção padrão de compartilhamento do Grok Build é "qualquer pessoa com o link", em vez de "usuários convidados" ou "só você", segundo a Ars Technica e a TechRadar.

A própria SpaceXSI foi exposta

Entre os dados vazados estavam 24 aplicativos criados pela própria SpaceXSI — empresa formada pela fusão entre SpaceX e xAI —, com um plano de integração de funcionários, um mapa de território de vendas com cerca de 594 contas estratégicas e materiais publicitários, segundo as três fontes. A Claroc afirma que cerca de 2% de todos os apps expostos continham informação grave o suficiente para receber classificação de risco alta ou crítica, segundo o Engadget e a TechRadar.

Além dos dados da própria SpaceXSI, a Claroc encontrou informações expostas pertencentes a outras organizações, incluindo empresas da lista Fortune 500 e uma contratada do setor de defesa, segundo a Ars Technica e o Engadget.

Resposta só depois de marcar Musk no X

A Claroc avisou a SpaceXSI sobre o problema, mas só obteve resposta depois de marcar publicamente Elon Musk e o gerente do Grok, Matt Palmer, na rede social X, segundo a Ars Technica e o Engadget. Depois disso, a SpaceXSI removeu os links dos 24 apps próprios identificados pela pesquisa.

Segundo o Engadget e a TechRadar, a empresa não fez o mesmo pelos aplicativos de outros usuários e organizações, que a Claroc segue notificando individualmente, caso a caso.

Na prática

  • O Grok Build é a ferramenta da SpaceXSI que cria aplicativos a partir de uma descrição em texto, sem exigir código do usuário.
  • A falha afeta apps publicados com a opção padrão "qualquer pessoa com o link" — quem trocou a configuração para "convidados" ou "só você" não foi exposto por esse método de busca.
  • A SpaceXSI já removeu os 24 apps próprios identificados pela Claroc, mas apps de outras empresas e usuários continuam expostos até serem notificados individualmente.
  • Nenhuma das fontes aponta um canal único ou um prazo divulgado para avisar todos os usuários afetados.