O modo "Build" do Grok, da SpaceXSI (antiga xAI), permite escrever um aplicativo web diretamente a partir de uma descrição no chat; ao clicar em "Publish", ele ganha um endereço próprio sob o domínio grok.me. Segundo o relatório mais recente da empresa de segurança Claroc, dos 37.571 apps desse tipo ainda online que ela verificou, 35.578 podiam ser acessados sem login, ou seja, 94,7%.
Entre o conteúdo exposto há valores de exames de pacientes, listas de funcionários de hospitais e também documentos internos feitos pelos próprios funcionários da SpaceXSI e do X.
Duas configurações padrão que se somam
A Claroc atribui a causa à etapa de publicação. Na conta paga usada nos testes, a opção "Anyone with the link" (qualquer pessoa com o link) já vinha pré-marcada na caixa de diálogo de publicação.
Encontrar os endereços também não é difícil. Cada app tem seu próprio subdomínio; depois do primeiro acesso, o nome entra em bancos de dados comerciais de passive DNS (bases que guardam o histórico de resolução de domínios), que podem ser consultados em massa por regras. Público por padrão e com endereços que podem ser enumerados, a proteção de "só vê quem tem o link" praticamente deixa de existir.
O que vazou
Segundo a Claroc, a maior parte dos apps públicos são joguinhos, páginas de destino e calculadoras; cerca de um décimo contém material sensível, dados internos de negócios ou informações pessoais, e uns 2% são casos particularmente graves.
Entre os casos confirmados estão: um resumo de passagem de plantão de UTI com valores de exames de pacientes; uma lista com mais de 3.500 funcionários de um grupo hospitalar; a escala de um corpo de bombeiros; e o código-fonte de um app de controle de horas com senhas em texto puro de 18 contas. Além da SpaceXSI e do X, 30 organizações foram afetadas, 6 delas da Fortune 500; a Claroc não divulgou os nomes.
Entre os 24 apps de funcionários há um plano de treinamento confidencial para vendedores corporativos recém-contratados, com endereços de sistemas internos e 19 grupos de chat internos; um mapa que distribui 594 clientes estratégicos por seis regiões de vendas e define prioridades; e 8 propostas de publicidade do X, uma delas dirigida a uma agência federal dos EUA e marcada como confidencial.
O código de permissões escrito pelo Grok também tem falhas
Com dois apps de teste criados por conta própria, a Claroc encontrou outro tipo de problema. Em um app de lista de contatos, o banco de dados gerado não tinha login, e visitantes anônimos podiam gravar entradas diretamente.
O outro era uma lista de clientes de uma equipe de vendas. O Grok adicionou por conta própria login com Google e X, mas o código primeiro inclui na equipe todo usuário que faz login com sucesso e só depois verifica a participação; como resultado, uma conta Google externa conseguia ler, alterar e apagar registros. A Claroc afirma que os testes de gravação e exclusão foram feitos apenas nos seus próprios apps.
Onde os padrões de produtos semelhantes diferem
Numa comparação mais ampla, o padrão do botão "compartilhar" define a maior parte do resultado. A Claroc usou o ChatGPT como controle: ao compartilhar um app novo, o padrão é "Only me"; o endereço também aparece nos dados de DNS, mas, ao abrir, só o proprietário consegue usar. O Grok também tem a opção "Only you", e nos testes bastou mudar para ela para bloquear o acesso externo; ela só não vem como padrão.
Problemas com o compartilhamento não são exclusivos do Grok. Com o mesmo método de passive DNS, a Claroc encontrou em outubro cerca de 6.800 conversas compartilhadas do agente Muse, da Meta; em julho deste ano, conversas compartilhadas e Artifacts do Claude, da Anthropic, também apareceram em buscadores, incluindo apps criados por usuários. Para o próprio Grok, este é pelo menos o terceiro incidente de privacidade: em agosto de 2025, a Forbes encontrou mais de 370 mil conversas compartilhadas do Grok na busca do Google; em julho de 2026, veio à tona que a ferramenta de terminal Grok Build enviava arquivos de usuários sem perguntar, incluindo chaves SSH e cofres de senhas.
O que diz a empresa
A resposta da SpaceXSI tem poucas frases: os apps são privados até que o criador os compartilhe, a publicação passa por várias etapas, incluindo um aviso legal, e as contas de funcionários vêm por padrão com "Only you". A Claroc rebate que, enquanto a última etapa continuar com "Anyone with the link" pré-selecionado, alguns cliques a mais não detêm ninguém; os 24 apps de funcionários também mostram que o padrão das contas de funcionários fez pouca diferença.
A SpaceXSI tirou do ar esses 24 apps de funcionários, mas os apps públicos de outros usuários e organizações continuam online. A empresa não se comprometeu a contatar todos os proprietários afetados; por ora, a Claroc os avisa um a um por conta própria. Ela propõe três mudanças: tornar "Only you" o padrão e mostrar quem pode acessar antes de publicar; alertar quando um app tem banco de dados mas não tem login; e usar caminhos difíceis de adivinhar em um host compartilhado em vez de subdomínios próprios.
A própria Claroc vende produtos de segurança para apps gerados por IA; os percentuais e casos acima, por enquanto, vêm apenas dos dados da empresa e ainda não foram verificados por terceiros.
Fontes: relatório de segurança da Claroc, The Decoder, CocoLoop; o percentual de 94,7%, o número de organizações afetadas e o de apps de funcionários seguem os dados da Claroc, e a resposta da SpaceXSI baseia-se no que ela informou aos pesquisadores.