Grok Build: 35.000 apps abiertas sin inicio de sesión
La firma Claroc abrió 35.578 apps creadas con Grok Build sin iniciar sesión, entre ellas el mapa de ventas y propuestas publicitarias de la propia SpaceXSI.
SUMO· el puzle de números
Dialo· aprende idiomas hablando
ediviewer· lee archivos EDI como documentos
giftdetect· el regalo adecuado en minutosQuien encontraba la dirección de una app de Grok Build casi siempre podía abrirla. La empresa de seguridad Claroc afirma que abrió 35.578 sin ningún inicio de sesión. Dos docenas pertenecían a empleados de SpaceXSI, la compañía detrás de Grok.
¿Qué es Grok Build y qué quedó expuesto?
Grok Build convierte una descripción escrita en un chat en una app funcional, que el usuario puede publicar en su propia dirección de grok.me. Claroc probó más de 43.500 direcciones. De las 37.571 que seguían en línea, el 94,7 % se abría sin autenticación.
La mayoría eran juegos, páginas de aterrizaje y calculadoras. Aproximadamente una de cada diez contenía datos internos o personales, entre 650 y 800 apps según Claroc. Entre los casos confirmados figuran los resultados de laboratorio de un paciente de cuidados intensivos, la lista de más de 3.500 empleados de un grupo hospitalario y el cuadro de turnos de unos bomberos. Una app de partes de horas tenía 18 cuentas con contraseñas en texto plano.
Las apps de SpaceXSI incluían un mapa de 594 cuentas comerciales estratégicas y ocho propuestas publicitarias de X. Una, para una agencia federal de EE. UU., llevaba etiqueta de confidencial. Tras el informe, la empresa retiró sus 24 apps, según Claroc, pero dejó abiertas las de otros usuarios.
¿Cómo encontró Claroc las apps?
Cada app publicada recibe un nombre de host hecho de palabras aleatorias, como nombre.grok.me. No hacía falta adivinarlo. Al abrir una app, ese nombre llega a bases de datos de DNS pasivo, que registran consultas de internet y donde puede buscar cualquiera con una cuenta. Los chats compartidos de Claude, ChatGPT y Gemini guardan la parte secreta en la ruta, que el DNS nunca ve, según Claroc.
La pantalla de publicación proponía «Anyone with the link», junto a «Invited users» y «Only you». En una app de prueba, el código de Grok añadía al equipo a cualquiera que entrara con Google antes de comprobar si era miembro, así que un externo podía leer, editar y borrar registros.
Un representante de Cursor, comprada por SpaceX en agosto, dijo que las apps son privadas por defecto. Claroc responde que quienes publicaron las apps abiertas pasaron por todos los pasos. Su cofundador Asaf Aprozper dice que Lovable, Bolt y Replit tienen la misma exposición, pero que en Grok encontraron con diferencia los datos de empresa más sensibles.
Claroc vende herramientas de seguridad para apps hechas con IA. Pide que «Only you» sea la opción por defecto, rutas difíciles de adivinar y un aviso si una app tiene base de datos pero no inicio de sesión. Ella misma avisa a las organizaciones afectadas. En julio, Grok Build ya había enviado repositorios Git enteros a los servidores de xAI.
Apps que merecen la pena
SUMO: el puzle de númerosToca las casillas correctas, suma y alcanza el objetivo. Fácil de aprender, difícil de dominar. Gratis, para todas las edades.
Dialo: aprende idiomas hablandoConversa con un compañero de IA; cada frase vuelve corregida y explicada en tu idioma. 9 idiomas, de A1 a C2.
ediviewer: lee archivos EDI como documentosAbre mensajes EDIFACT y X12, cada segmento explicado, conversión a JSON/XML, exportación a PDF y Excel. Funciona en local, sin subir nada.
giftdetect: el regalo adecuado en minutosElige para quién es, la ocasión y su personalidad. El buscador lee las descripciones de tiendas locales y ordena lo que encaja. Gratis, sin registro.
Más de este día
Ver todas →
Hackeo a Fireworks AI: roban chats de clientes de Notion AI
Starshield, frenado otra vez en Ucrania: falla la defensa antidrones
Caída de Microsoft 365: Teams, Exchange y Copilot afectados
