Il meccanismo dell'esposizione
Grok Build, l'agente di coding di SpaceXSI, avrebbe esposto informazioni riservate di migliaia di utenti attraverso i link pensati per condividere le app create con la piattaforma. Lo riferisce Ars Technica citando una ricerca della società di sicurezza Claroc. I link sono composti da parole casuali poste a sinistra del dominio grok.me, una scelta che secondo i ricercatori consente di enumerarli tramite i servizi di DNS passivo, che registrano pubblicamente le risoluzioni di indirizzi mai visti prima. Nella maggior parte dei casi, cliccando il link si apre l'applicazione con tutti i dati associati.
Ars Technica precisa che l'impostazione predefinita dei link sarebbe "chiunque abbia il link", mentre l'utente può passare a "utenti invitati" o "solo tu". Secondo Claroc, una ricerca DNS passivo ha restituito 43.601 indirizzi grok.me, di cui oltre 35.000, quasi il 95 per cento, accessibili pubblicamente. Il confronto proposto nell'articolo è con Google, che colloca la parte casuale dell'URL dopo il dominio: in quel caso i link non sarebbero visibili ai servizi di DNS passivo.
I dati trovati e il caso interno
Tra i materiali esposti, sempre secondo Claroc, figurano piani aziendali interni, proposte pubblicitarie, referti medici, liste di controllo di una compagnia di crociere di lusso e nomi e numeri di identificazione di dipendenti. Ventiquattro app sarebbero state costruite dalla stessa SpaceXSI, nata dalla fusione di SpaceX e xAI: tra i documenti citati una piano di onboarding segnato come riservato per un nuovo membro del team vendite enterprise, una mappa di 594 account, indirizzi interni di strumenti del team vendite e proposte pubblicitarie.
I ricercatori hanno definito l'accaduto sorprendente, osservando che un tool acquistato per lo stesso scopo sarebbe stato protetto da autenticazione aziendale. Ars Technica racconta di aver contattato SpaceXSI e che l'azienda ha iniziato a rimuovere i link entro poche ore, fino all'errore "app not found" per tutte e 24 le app. Il CTO di Claroc, Asaf Aprozper, ha detto di stare avvisando le organizzazioni coinvolte, e la compagnia di crociere avrebbe attivato il proprio team di sicurezza dopo essere stata informata.
La replica e i limiti della vicenda
Un portavoce di Cursor, il servizio di coding acquisito da SpaceXSI, ha sostenuto che le app di Grok Build sono private per impostazione predefinita e che nulla diventa pubblico senza la scelta del creatore. Secondo Ars Technica i test di Aprozper contraddicono questa ricostruzione, perché in tutti i casi sarebbe stato necessario cambiare manualmente l'impostazione. Il portavoce non avrebbe risposto alle domande di follow-up, tra cui se l'esposizione fosse intenzionale, perché i dati siano stati rimossi dopo la richiesta del giornale e se i clienti sarebbero stati avvisati.
La ricerca riguarda soprattutto Grok Build, ma Aprozper indica che anche altri strumenti di app building con indirizzi web propri, come Lovable, Bolt e Replit, sarebbero esposti allo stesso tipo di enumerazione, pur con meno dati sensibili trovati. Resta quindi aperto il quadro complessivo: i numeri citati provengono dalla società di sicurezza, le dichiarazioni di Cursor non sono state confermate e non è noto quanti dei link rimossi riguardassero dati di terzi. L'indicazione operativa contenuta nell'articolo è che chi usa link condivisibili su Grok Build scelga l'opzione degli utenti invitati.
