Chế độ "Build" của Grok, thuộc SpaceXSI (trước đây là xAI), cho phép viết thẳng một ứng dụng web từ mô tả trong cuộc trò chuyện; bấm "Publish" là ứng dụng được cấp một địa chỉ riêng dưới tên miền grok.me. Theo báo cáo mới nhất của công ty bảo mật Claroc, trong 37.571 ứng dụng loại này vẫn còn trực tuyến mà hãng đã kiểm tra, có 35.578 ứng dụng truy cập được mà không cần đăng nhập, tức 94,7%.
Nội dung bị lộ gồm các chỉ số xét nghiệm của bệnh nhân, danh sách nhân viên bệnh viện, và cả những tài liệu nội bộ do chính nhân viên SpaceXSI và X làm ra.
Hai thiết lập mặc định chồng lên nhau
Claroc quy nguyên nhân cho khâu xuất bản. Trên tài khoản trả phí dùng để thử nghiệm, hộp thoại xuất bản đã chọn sẵn "Anyone with the link" (bất kỳ ai có liên kết).
Việc tìm ra địa chỉ cũng không khó. Mỗi ứng dụng có một tên miền phụ riêng; sau lần truy cập đầu tiên, tên này đi vào các cơ sở dữ liệu passive DNS thương mại (cơ sở dữ liệu lưu lịch sử phân giải tên miền), và các kho này có thể được truy vấn hàng loạt theo quy tắc. Mặc định công khai cộng với địa chỉ có thể liệt kê được khiến lớp bảo vệ kiểu "có liên kết mới xem được" gần như vô tác dụng.
Những gì đã lộ ra
Claroc cho biết phần lớn ứng dụng công khai là trò chơi nhỏ, trang đích và máy tính; khoảng một phần mười chứa tài liệu nhạy cảm, dữ liệu kinh doanh nội bộ hoặc thông tin cá nhân, và khoảng 2% thuộc diện đặc biệt nghiêm trọng.
Các trường hợp đã được xác nhận gồm: một bản bàn giao ca ICU ghi giá trị xét nghiệm của bệnh nhân; danh sách hơn 3.500 nhân viên của một tập đoàn bệnh viện; lịch phân ca của một đơn vị cứu hỏa; và mã nguồn của một ứng dụng chấm công có ghi mật khẩu dạng văn bản thuần của 18 tài khoản. Ngoài SpaceXSI và X, có 30 tổ chức bị ảnh hưởng, trong đó 6 tổ chức thuộc Fortune 500; Claroc không công bố tên.
Trong 24 ứng dụng của nhân viên có một kế hoạch đào tạo bảo mật cho nhân viên kinh doanh doanh nghiệp mới vào, liệt kê địa chỉ các hệ thống nội bộ và 19 nhóm chat nội bộ; một bản đồ chia 594 khách hàng chiến lược vào sáu khu vực bán hàng và xếp thứ tự ưu tiên; cùng 8 đề xuất quảng cáo của X, trong đó một đề xuất nhắm tới cơ quan liên bang Hoa Kỳ và được đánh dấu là bảo mật.
Mã phân quyền do Grok viết cũng có lỗ hổng
Với hai ứng dụng thử nghiệm tự dựng, Claroc phát hiện một loại vấn đề khác. Ở một ứng dụng danh sách liên hệ, cơ sở dữ liệu được tạo ra không yêu cầu đăng nhập, nên khách ẩn danh có thể ghi thẳng các mục vào đó.
Ứng dụng còn lại là danh sách khách hàng của một nhóm bán hàng. Grok tự thêm đăng nhập bằng Google và X, nhưng mã lại thêm mọi người dùng đăng nhập thành công vào nhóm trước, rồi mới kiểm tra tư cách thành viên; kết quả là một tài khoản Google bên ngoài cũng đọc, sửa và xóa được bản ghi. Claroc nói các thử nghiệm ghi và xóa chỉ được thực hiện trên ứng dụng của chính họ.
Giá trị mặc định của các sản phẩm tương tự khác nhau ở đâu
Nhìn rộng ra, giá trị mặc định của nút "chia sẻ" quyết định phần lớn kết quả. Claroc dùng ChatGPT để đối chiếu: ứng dụng mới tạo khi chia sẻ mặc định là "Only me"; địa chỉ vẫn xuất hiện trong dữ liệu DNS, nhưng khi mở ra thì chỉ chủ sở hữu dùng được. Grok thực ra cũng có tùy chọn "Only you", và trong thử nghiệm, chuyển sang tùy chọn này là chặn được truy cập từ bên ngoài, chỉ là nó không được đặt làm mặc định.
Tính năng chia sẻ gặp sự cố không chỉ có ở Grok. Cũng bằng phương pháp passive DNS, Claroc đã tìm thấy khoảng 6.800 cuộc trò chuyện được chia sẻ của tác tử Muse từ Meta vào tháng 10; hồi tháng 7 năm nay, các cuộc trò chuyện chia sẻ và Artifacts của Claude từ Anthropic cũng xuất hiện trên công cụ tìm kiếm, trong đó có cả ứng dụng do người dùng tạo. Với riêng Grok, đây ít nhất là sự cố riêng tư thứ ba: tháng 8 năm 2025, Forbes tìm thấy hơn 370.000 cuộc trò chuyện Grok được chia sẻ trên tìm kiếm Google; tháng 7 năm 2026, công cụ dòng lệnh Grok Build bị phanh phui là tải tệp của người dùng lên mà không hỏi, gồm cả khóa SSH và kho mật khẩu.
Công ty nói gì
Phản hồi của SpaceXSI chỉ có vài câu: ứng dụng ở chế độ riêng tư cho đến khi người tạo chia sẻ, việc xuất bản phải qua nhiều bước, trong đó có cảnh báo pháp lý, và tài khoản nhân viên mặc định là "Only you". Claroc phản bác rằng chừng nào bước cuối vẫn chọn sẵn "Anyone with the link", thì thêm vài cú nhấp chuột cũng chẳng ngăn được ai; 24 ứng dụng của nhân viên cũng cho thấy giá trị mặc định ở tài khoản nhân viên chẳng có mấy tác dụng.
SpaceXSI đã gỡ 24 ứng dụng của nhân viên này, còn các ứng dụng công khai của người dùng và tổ chức khác vẫn trực tuyến. Công ty không cam kết liên hệ tất cả chủ sở hữu bị ảnh hưởng; hiện Claroc tự thông báo cho từng người. Hãng đề xuất ba cách sửa: đổi mặc định thành "Only you" và hiển thị ai có thể truy cập trước khi xuất bản; cảnh báo khi ứng dụng có cơ sở dữ liệu mà không có đăng nhập; và dùng đường dẫn khó đoán trên máy chủ chung thay cho tên miền phụ riêng.
Bản thân Claroc bán sản phẩm bảo mật cho ứng dụng do AI tạo ra; các tỷ lệ và trường hợp nêu trên hiện chỉ dựa trên số liệu của riêng hãng và chưa được bên thứ ba kiểm chứng.
Nguồn tham khảo: báo cáo bảo mật của Claroc, The Decoder, CocoLoop; tỷ lệ 94,7%, số tổ chức bị ảnh hưởng và số ứng dụng của nhân viên đều theo số liệu của Claroc, phản hồi của SpaceXSI dựa trên câu trả lời của công ty này cho bên nghiên cứu.