Le impostazioni di condivisione predefinite di Grok espongono dati privati per i piccoli team

Il builder low-code di Grok potrebbe sembrare un miracolo di produttività, ma un nuovo rapporto dell'azienda di sicurezza Claroc mostra che quasi ogni app creata con esso è esposta al mondo per impostazione predefinita. Il fatto più sorprendente? 35.578 delle 37.571 app Grok attive – il 94,7% – possono essere aperte da chiunque abbia il link, divulgando di tutto, dai valori di laboratorio delle terapie intensive alle password in chiaro.

Cosa è successo

Secondo The Decoder, Claroc ha scansionato 37.571 app create con Grok che erano ancora online e ha scoperto che 35.578 erano accessibili pubblicamente. L'opzione predefinita "Chiunque abbia il link" è preselezionata nella finestra di dialogo di pubblicazione, il che significa che un creatore deve solo cliccare su "Pubblica" affinché l'app appaia su un sottodominio unico (ad esempio, appname.grok.me). Questi sottodomini emergono nei database DNS passivi, rendendoli ricercabili per pattern.

Tra le 24 app pubblicamente raggiungibili appartenenti a SpaceXSI (l'azienda dietro Grok, ex xAI) c'erano un piano di onboarding confidenziale, una mappa del territorio di vendita che copriva 594 account strategici e otto proposte pubblicitarie interne – una contrassegnata come confidenziale per un'agenzia federale statunitense. Claroc stima che 650-800 app contengano dati privati, classificando circa il due percento come "particolarmente gravi". Le fughe di dati confermate includono un briefing di terapia intensiva con valori di laboratorio dei pazienti, un elenco di oltre 3.500 dipendenti di un gruppo ospedaliero, un programma di turni dei vigili del fuoco e un'app per la rilevazione delle presenze il cui codice sorgente memorizzava 18 account con password in chiaro.

Claroc ha anche creato due app di test per sondare la sicurezza della piattaforma. Un'app per elenchi di contatti aveva un database senza login, consentendo ai visitatori anonimi di aggiungere voci. In un'app per elenchi di team di vendita, Grok ha aggiunto automaticamente ogni utente Google o X autenticato al team prima di verificare l'appartenenza, consentendo a un account Google esterno di leggere, modificare ed eliminare i record. L'azienda osserva che cambiare l'impostazione della privacy dell'app su "Solo tu" blocca l'accesso esterno, ma questa non è l'impostazione predefinita. Al contrario, un'app di test comparabile creata con ChatGPT era predefinita su "Solo io".

La risposta di SpaceXSI si è limitata ad affermare che le app rimangono private finché il creatore non le condivide e che gli account dei dipendenti sono predefiniti su "Solo tu". Claroc ribatte che i clic aggiuntivi sono irrilevanti quando "Chiunque abbia il link" è preselezionato nel passaggio finale. L'azienda ha rimosso le 24 app dei dipendenti ma ha lasciato intatto il più ampio pool di app pubbliche.

Perché è importante per i piccoli team

Se sei un leader di una piccola impresa che ha utilizzato Grok per creare dashboard interne, calcolatori o strumenti di onboarding, è probabile che tu stia utilizzando un endpoint pubblico senza nemmeno saperlo. Il modello di condivisione predefinito trasforma una funzione di comodità in un vettore di fuga di dati, e l'impronta DNS passiva significa che chiunque con un po' di curiosità può scoprire gli URL delle tue app. Per un team di vendita, ciò potrebbe significare esporre la tua pipeline, gli account strategici o persino proposte confidenziali ai concorrenti. Per le risorse umane o le operazioni, potrebbe significare la fuga di elenchi di dipendenti, programmi di turni o dati sanitari – un incubo per la conformità e la fiducia nel marchio.

Il fatto che circa una su dieci app contenesse materiale sensibile, e che Claroc abbia identificato 30 organizzazioni (incluse sei aziende Fortune 500) colpite, dimostra che non si tratta di un problema di nicchia. I piccoli team spesso non dispongono di personale di sicurezza dedicato, quindi un'impostazione predefinita aperta può sfuggire alle revisioni interne. In breve, la comodità di Grok ha un costo nascosto: potresti trasmettere le tue informazioni aziendali più sensibili a Internet.

Cosa fare questa settimana

1. Verifica ogni app Grok di tua proprietà – apri l'URL di ogni app in una finestra in incognito; se si carica senza login, cambia immediatamente l'impostazione della privacy su "Solo tu".
2. Rinomina o ritira i sottodomini pubblici – sposta le app critiche su un host condiviso con percorsi oscuri, o eliminale se non sono più necessarie.
3. Implementa una checklist per le future build – richiedi un passaggio di revisione di sicurezza obbligatorio che verifichi che la condivisione predefinita sia disabilitata e che qualsiasi database abbia un'autenticazione adeguata prima della pubblicazione.

Fonti

• Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline — The Decoder