La configuración predeterminada de Grok expone datos privados de pequeños equipos

El creador de código bajo de Grok puede parecer un milagro de productividad, pero un nuevo informe de la firma de seguridad Claroc muestra que casi todas las aplicaciones creadas con él están expuestas al mundo de forma predeterminada. ¿El dato más llamativo? 35.578 de las 37.571 aplicaciones de Grok activas (el 94,7%) pueden ser abiertas por cualquier persona con el enlace, filtrando desde valores de laboratorio de UCI hasta contraseñas en texto plano.

Qué pasó

Según The Decoder, Claroc escaneó 37.571 aplicaciones creadas con Grok que seguían en línea y descubrió que 35.578 eran públicamente accesibles. La opción predeterminada "Cualquier persona con el enlace" viene preseleccionada en el cuadro de diálogo de publicación, lo que significa que el creador solo necesita hacer clic en "Publicar" para que la aplicación aparezca en un subdominio único (por ejemplo, nombreapp.grok.me). Esos subdominios aparecen en bases de datos de DNS pasivas, lo que permite buscarlos por patrones.

Entre las 24 aplicaciones accesibles públicamente pertenecientes a SpaceXSI (la empresa detrás de Grok, anteriormente xAI) había un plan de incorporación confidencial, un mapa de territorios de ventas que cubría 594 cuentas estratégicas y ocho propuestas de anuncios internos, una de ellas marcada como confidencial para una agencia federal de EE. UU. Claroc calcula que entre 650 y 800 aplicaciones contienen datos privados, clasificando aproximadamente a un dos por ciento como "especialmente graves". Las filtraciones confirmadas incluyen un informe de UCI con valores de laboratorio de pacientes, una lista de más de 3.500 empleados de un grupo hospitalario, un horario de turnos de bomberos y una aplicación de control de asistencia cuyo código fuente almacenaba 18 cuentas con contraseñas en texto plano.

Claroc también creó dos aplicaciones de prueba para examinar la seguridad de la plataforma. Una aplicación de lista de contactos tenía una base de datos sin inicio de sesión, lo que permitía a los visitantes anónimos añadir entradas. En una aplicación de lista para el equipo de ventas, Grok añadía automáticamente al equipo a cualquier usuario autenticado de Google o X antes de comprobar la membresía, permitiendo que una cuenta externa de Google leyera, editara y eliminara registros. La firma señala que cambiar la configuración de privacidad de la aplicación a "Solo tú" bloquea el acceso externo, pero esa no es la opción predeterminada. En contraste, una aplicación de prueba comparable creada con ChatGPT tenía configurada por defecto la opción "Solo yo".

La respuesta de SpaceXSI se limitó a declarar que las aplicaciones siguen siendo privadas hasta que el creador las comparte y que las cuentas de los empleados tienen predeterminada la opción "Solo tú". Claroc replica que los clics adicionales no tienen sentido cuando "Cualquier persona con el enlace" está preseleccionado en el paso final. La empresa ha retirado las 24 aplicaciones de los empleados, pero ha dejado intacto el grupo más amplio de aplicaciones públicas.

Por qué importa para los pequeños equipos

Si eres el líder de una pequeña empresa que ha utilizado Grok para crear paneles internos, calculadoras o herramientas de incorporación, es probable que estés operando con un punto final expuesto al público sin siquiera saberlo. El modelo de uso compartido predeterminado convierte una función de conveniencia en un vector de fuga de datos, y la huella de DNS pasivo significa que cualquier persona con un poco de curiosidad puede descubrir las URL de tus aplicaciones. Para un equipo de ventas, eso podría significar exponer tu embudo de ventas, cuentas estratégicas o incluso propuestas confidenciales a la competencia. Para recursos humanos u operaciones, podría significar filtrar listas de empleados, horarios de turnos o datos de salud, una pesadilla para el cumplimiento normativo y la confianza en la marca.

El hecho de que aproximadamente una de cada diez aplicaciones contuviera material sensible, y que Claroc identificara a 30 organizaciones (incluidas seis empresas de la lista Fortune 500) afectadas, demuestra que no se trata de un problema aislado. A menudo, los equipos pequeños carecen de personal de seguridad dedicado, por lo que una configuración abierta por defecto puede pasar desapercibida en las revisiones internas. En resumen, la comodidad de Grok tiene un costo oculto: es posible que estés transmitiendo tu información empresarial más confidencial a internet.

Qué hacer esta semana

1. Audita cada aplicación de Grok que poseas: abre la URL de cada aplicación en una ventana de incógnito; si se carga sin iniciar sesión, cambia la configuración de privacidad a "Solo tú" inmediatamente.
2. Renombra o retira los subdominios públicos: traslada las aplicaciones críticas a un host compartido con rutas oscuras, o bórralas si ya no son necesarias.
3. Implementa una lista de comprobación para futuros desarrollos: exige un paso obligatorio de revisión de seguridad que verifique que el uso compartido predeterminado esté deshabilitado y que cualquier base de datos tenga la autenticación adecuada antes de publicar.

Fuentes

• Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline — The Decoder