Grok Build流出問題、SpaceXSI自身のデータも公開状態に
xAIのGrok Buildで作ったアプリのリンクがDNSサービスに記録され、検索可能に。SpaceXSI自社の営業マップまで見つかった。
AIにアプリを作らせるvibe codingエージェント「Grok Build」で作られたアプリが、リンクを知らない人にも見つかる状態になっていた。その中にはSpaceXSI自身の社内資料も含まれていた。
セキュリティ企業Claroc(クラロック)がArs Technicaに明らかにした。病院グループや消防署、SpaceXSIの従業員に関する機密情報が漏れたという。Clarocはこうしたページを、リンクを渡されていない人でも開けることから「GhostShares」と呼んでいる。
Grok Buildの流出で何が見つかったのか
SpaceXSI関連では、オンボーディング計画、594の戦略アカウントを載せた営業テリトリーマップ、Xの広告提案書8件、稼働中の広告主アカウントボード4件、Xブランドセーフティ・プレイブックの写しが2部あった。パスワードを求めたアプリは1つだけだった。ほかにFortune 500企業6社、従業員1,000人超の企業26社も含まれる。Clarocは約2%が「高」または「重大」レベルだと推定している。
リンクの何が問題だったのか
Grok Buildはリンクに、4語のランダムな語句「ダイスワード」(最大38ビットのエントロピー)を使っていた。ただ、その部分をドメインの左側に置いていた。GoogleのGeminiは右側だ。このためパッシブDNSサーバーがリンクを拾い、誰でも検索できるデータベースに記録されてしまった。
SpaceXSIの対応は
Clarocは調査結果をSpaceXSIと影響を受けた企業に伝え、一部は素早く対処した。ただSpaceXSIは、ClarocがXでマスク氏と同社幹部1人にメンションするまで反応しなかったと伝えられている。その後SpaceXSIは自社の公開アプリ24件を取り下げた。しかしClarocによると、他のGrokユーザーや組織が公開したままのアプリについては同様の対応を取っていない。
注目のアプリ
SUMO：数字パズル正しいマスを選んで足し算、目標の数に。覚えるのは簡単、極めるのは難しい。無料、全年齢向け。
Dialo：話して学ぶ語学アプリAIの会話パートナーと話すだけ。一文ごとに添削され、あなたの言語で解説が返ってきます。9言語、A1からC2まで。
ediviewer：EDIファイルを文書のように読むEDIFACTやX12メッセージを開き、各セグメントの意味を表示。JSON/XML変換、PDF・Excel出力。ローカルで動作、アップロード不要。
giftdetect：数分でぴったりの贈り物相手、シーン、性格を選ぶだけ。検索エンジンが地元ショップの商品説明を読み、合うものを並べます。無料、登録不要。
