الأمن السيبراني13‏/11‏/2026، 4:35 ص UTC·2 دقائق قراءة

Grok Build: 35,578 تطبيقاً فُتحت دون تسجيل دخول

فتحت شركة Claroc الأمنية 35,578 تطبيقاً بُنيت عبر Grok Build دون أي تسجيل دخول، بينها خريطة مبيعات وعروض إعلانية تخص SpaceXSI نفسها.

A laptop screen showing a web app builder publish dialog with an open padlock icon beside it. — الصورة: TNW | Data-security

يكفي أن تعرف عنوان تطبيق بُني عبر Grok Build لتفتحه. فقد أظهر بحث نشرته شركة Claroc الأمنية في 10 نوفمبر أن أكثر من 35 ألف تطبيق كانت متاحة بهذه الطريقة. وكان 24 منها يعود لموظفين في SpaceXSI، الشركة المطوِّرة لـ Grok.

يحوّل Grok Build وصفاً يُكتب في المحادثة إلى تطبيق يعمل، ويمكن لصاحبه نشره على عنوان خاص به ضمن grok.me. جرّبت Claroc أكثر من 43,500 عنوان. ومن بين 37,571 تطبيقاً ما زال يعمل، فُتح 35,578 منها، أي 94.7%، دون أي تسجيل دخول.

أغلبها ألعاب وصفحات هبوط وآلات حاسبة. لكن نحو تطبيق من كل عشرة احتوى بيانات داخلية أو شخصية. وتقدّر Claroc أن 650 إلى 800 تطبيق ضمّت بيانات خاصة. وتحققت الشركة يدوياً من بعض الحالات، منها نتائج فحوص مريض في العناية المركزة، وقائمة بأكثر من 3,500 موظف في مجموعة مستشفيات، وجدول مناوبات لإدارة إطفاء. وفي تطبيق لمقاول لتسجيل ساعات العمل وُجد 18 حساباً بكلمات مرورها نصاً صريحاً. أما تطبيقات SpaceXSI المفتوحة فضمّت خريطة لـ 594 حساب مبيعات استراتيجياً، وثمانية عروض إعلانية لمنصة X، وخطة سرية لاستقبال الموظفين الجدد.

كيف عُثر على عناوين التطبيقات؟

لم يكن أحد بحاجة إلى التخمين. يمنح Grok كل تطبيق منشور اسم مضيف من كلمات عشوائية، مثل name.grok.me. وعندما يفتح زائر التطبيق، يصل هذا الاسم إلى خدمات DNS السلبية، وهي قواعد بيانات تجارية تسجّل طلبات الإنترنت ويمكن لأي صاحب حساب البحث فيها. وتقول Claroc إن الجزء السري من الرابط في ChatGPT وClaude وGemini يقع في المسار الذي لا يراه DNS. وبالطريقة نفسها كُشفت الشهر الماضي روابط Muse التابعة لشركة Meta.

ماذا قالت SpaceXSI؟

أزالت SpaceXSI تطبيقاتها الـ 24 وتركت تطبيقات المستخدمين الآخرين. وقال ممثل عن Cursor، التي اشترتها SpaceX في أغسطس، إن التطبيقات خاصة افتراضياً. لكن شاشة النشر في الحساب المدفوع الذي استخدمته Claroc اقترحت «Anyone with the link»، مع خيارين آخرين هما «Invited users» و«Only you». وترى Claroc أن من نشروا التطبيقات المفتوحة مرّوا بكل الخطوات.

تطلب Claroc جعل «Only you» الخيار الافتراضي، وتحذير المستخدم عندما يحتوي التطبيق على قاعدة بيانات دون تسجيل دخول. وهي تتولى إخطار الجهات المتضررة بنفسها.