Grok Build製アプリ、3.5万件がログインなしで閲覧可能に

Grok Buildとは何か、何件が開いていたのか

Grok Buildは、チャットで説明を入力するとアプリを作ってくれるツールだ。作ったアプリはgrok.me上の専用アドレスで公開できる。Clarocは4万3500件超のアドレスを試し、稼働中の3万7571件のうち3万5578件(94.7%)がサインインなしで開いた。

大半はゲームやランディングページ、計算機だった。ただ約1割には社内の業務データや個人情報が入っており、Clarocは650〜800件と推定する。手作業で確認した例には、集中治療室の患者1人の検査結果、病院グループの3500人超の職員名簿、消防署の勤務表がある。ある請負業者の勤怠アプリでは、18アカウントのパスワードが平文のまま、訪問者のブラウザに配信されるコードに入っていた。

SpaceXSIの公開アプリには、594の戦略的営業先の地図と、Xの広告提案書8件があった。うち1件は米連邦機関向けで、機密の表示が付いていたという。

アドレスはどうやって見つかったのか

公開アプリには、name.grok.meのようなランダムな単語のホスト名が付く。推測は不要だった。アプリが開かれるとその名前がパッシブDNSサービスに記録されるためだ。これは インターネット上の名前解決を記録する商用データベースで、アカウントがあれば誰でも検索できる。Clarocによれば、Claude、ChatGPT、Geminiの共有チャットは秘密の部分をパスに置くので、DNSには見えない。

SpaceXSIは、公開には法的通知を含む複数の手順があり、社員のアカウントは初期設定が「Only you」だと説明した。Clarocは、開いていた3万5578件の作成者も全手順を踏んでいたと反論する。同社は「Only you」を初期値にすることなどを求めている。