Исследователи из компании Claroc обнаружили уязвимость в платформе Grok Build, которая привела к утечке конфиденциальных данных из тысяч проектов. Проблема вызвана архитектурным решением: случайные части URL размещаются в виде поддоменов, что делает их доступными для индексации через пассивные DNS-сервисы.
Специалисты выявили 43 601 ссылку с окончанием grok.me, при этом почти 95 процентов из них оказались в открытом доступе. В сеть попали внутренние бизнес-планы, медицинские отчеты и персональные данные сотрудников компаний из списка Fortune 500 и оборонного сектора.
Утечка затронула 24 внутренних приложения компании SpaceXSI, образованной после слияния SpaceX и xAI. Среди раскрытых документов оказались планы по адаптации новых сотрудников отдела продаж и карты территорий, охватывающие 594 учетные записи.
SpaceXSI начала удалять скомпрометированные ссылки после запроса журналистов. Представитель Cursor, компании, приобретенной SpaceXSI, заявил, что приложения по умолчанию являются приватными, однако исследователи утверждают, что Grok Build устанавливает публичный доступ, если пользователь не изменит настройки вручную.
Аналогичные риски были выявлены у платформ Lovable, Bolt и Replit, использующих схожую структуру ссылок. В то же время сервисы Claude, ChatGPT и Gemini применяют другой подход к безопасности, размещая секретные параметры в пути URL, что исключает их обнаружение через DNS.
