Grok Build, l’agente AI di programmazione annunciato da SpaceXSI a metà maggio, ha divulgato online i dati di migliaia di utenti, inclusi quelli dell’azienda di Elon Musk. I ricercatori di Claroc hanno scoperto che le informazioni sono accessibili tramite la condivisione del link alle app. Un simile problema è stato descritto per ChatGPT e Muse.
Dati da oltre 35.000 app
Grok Build consente di condividere le app con altri utenti tramite link. Gli URL vengono generati casualmente, in modo che solo chi conosce l’indirizzo esatto possa accedere ai dati delle app. Una scelta progettuale di SpaceXSI (ex SpaceXAI e xAI) vanifica completamente tale obiettivo, rendendo possibile individuare migliaia di progetti attivi. Cliccando sui link viene aperta l’app, rivelando tutti i dati ad essa associati.
La parte iniziale degli URL contiene due o più parole casuali (che gli utenti possono comunque modificare), mentre la parte più a destra del link è grok.me. Il problema risiede proprio in questa modalità di implementazione. Le parole casuali sono posizionate alla sinistra del dominio grok.me. Ciò consente di individuare facilmente i link utilizzando servizi di DNS passivo. Quando una richiesta di risoluzione riguarda l’indirizzo IP di un URL mai visto in precedenza, l’operazione viene registrata in un database consultabile pubblicamente.
È quindi sufficiente effettuare una ricerca (ad esempio tramite query *.grok.me) per trovare gli URL delle app. Gli esperti di Claroc hanno individuato 43.601 link, 35.578 dei quali erano pubblici, quindi cliccando sui link veniva aperta l’app. I ricercatori hanno trovato anche 24 app create dai dipendenti di SpaceXSI con diverse informazioni confidenziali.
Dopo aver ricevuto la segnalazione da Claroc, l’azienda di Elon Musk ha disattivato la condivisione per le sue 24 app, mentre le altre sono ancora online. Non è noto se verranno informati gli utenti interessati e se SpaceXSI modificherà la generazione degli URL.
Ti potrebbe interessare
11 nov 2026