Claroc: el 95% de las 37 000 aplicaciones creadas en Grok está abierto a todos sin login

Imagine que una tarde monta una herramienta interna para su departamento, pulsa «Publicar» y se va a dormir. A la mañana siguiente resulta que cualquiera que conozca la dirección puede entrar. Y averiguar esa dirección no es difícil. Más o menos así es la historia que ha descrito la empresa de seguridad Claroc sobre las aplicaciones creadas en Grok.

Qué encontraron los investigadores

En el modo Build de SpaceXSI (antes xAI), el usuario describe la aplicación en un chat y Grok escribe el código. La app pasa a ser pública al pulsar el botón «Publish» y recibe entonces su propia dirección en grok.me. Claroc revisó 37 571 aplicaciones que seguían en línea. De ellas, 35 578 se abrían sin ningún tipo de acceso. Es el 94,7%.

La mayoría son juegos, landings y calculadoras inofensivos. Pero aproximadamente una de cada diez contenía datos sensibles: materiales internos de empresa o información personal. Los investigadores consideraron especialmente graves cerca del 2% de los casos y estimaron que en 650–800 aplicaciones había datos privados.

Ejemplos de hallazgos confirmados:

• un informe de cuidados intensivos con los valores de laboratorio de un paciente;
• una lista de más de 3500 empleados de un grupo hospitalario;
• el calendario de turnos de un parque de bomberos;
• el código fuente de una aplicación de control de jornada laboral con 18 cuentas y contraseñas en texto plano.

El problema afecta a 30 organizaciones, además de SpaceXSI y X, y seis de ellas figuran en la lista Fortune 500. Claroc no revela sus nombres. Entre las 24 aplicaciones abiertas de empleados de la propia SpaceXSI y de X había un plan de onboarding confidencial para un gerente de ventas corporativas, un mapa de territorios con 594 clientes estratégicos y ocho propuestas publicitarias para X. Una de ellas está dirigida a una agencia federal de EE. UU. y marcada como confidencial.

Por qué ocurrió

Según Claroc, hay tres causas. La primera: en el cuadro de diálogo de publicación de una cuenta de pago de prueba ya estaba marcada la opción «Anyone with the link». Quien tiene prisa simplemente no cambia lo preseleccionado. La segunda: cada aplicación tiene su propio subdominio, de modo que tras la primera visita su nombre acaba en bases comerciales de DNS pasivo, donde se puede buscar por patrón. Un enlace que nadie ha mostrado deja de ser secreto.

La tercera causa es el código que escribe el propio modelo. En una aplicación de prueba con lista de contactos, la base de datos no tenía autorización y usuarios anónimos podían añadir registros. En otra, una base de clientes para un departamento de ventas, el propio Grok añadió el inicio de sesión con Google y X. Pero la lógica estaba invertida: a cada usuario que entraba se le añadía primero al equipo y solo después se comprobaba su pertenencia. Cualquier cuenta de Google ajena podía leer, editar y borrar registros. Claroc precisa que ejecutó las pruebas de escritura y eliminación únicamente en sus propias aplicaciones.

Grok sí tiene los ajustes correctos: con la opción «Only you», el sistema no dejaba entrar a extraños. Simplemente no es la opción por defecto. En una prueba equivalente con ChatGPT, una aplicación recién creada recibía por defecto «Only me» al compartirse. La dirección también puede quedar expuesta en el DNS, pero solo el propietario podrá abrirla.

Qué conviene tener en cuenta

Primero, una salvedad: Claroc vende soluciones de seguridad para aplicaciones creadas con IA, así que la firma tiene un interés. Sin embargo, la mecánica del problema es verificable y no depende de los motivos del informe. SpaceXSI respondió únicamente que las aplicaciones son privadas hasta que el propietario las comparte, que la publicación exige varios pasos, entre ellos un aviso legal, y que los empleados tienen «Only you» por defecto.

Claroc replica que los clics adicionales no sirven de nada si en el último paso sigue marcada la opción «para todos». Y los 24 aplicaciones abiertas de empleados demuestran que un valor por defecto estricto para el personal tampoco lo evita. La compañía deshabilitó esas 24 aplicaciones; las demás siguen abiertas.

Por eso Claroc avisa por su cuenta a los propietarios.

La conclusión práctica es sencilla:

• Antes de publicar cualquier aplicación generada, compruebe manualmente el modo de acceso y no se fíe del valor por defecto.
• No ponga datos reales de clientes, pacientes o empleados en aplicaciones de vibe coding hasta haber comprobado la autorización.
• Lea el código de las comprobaciones de acceso: el orden «añadir y luego comprobar» es un error clásico, y el modelo lo reproduce.
• Si desarrolla su propio producto con publicación de aplicaciones, adopte un valor por defecto privado, rutas impredecibles en un host común en lugar de subdominios y un aviso del tipo «hay base de datos, pero no hay login». Es justo lo que propone Claroc.

Es, como mínimo, el tercer incidente de privacidad de SpaceXSI en torno a Grok: en agosto de 2025 Forbes encontró más de 370 000 conversaciones compartidas indexadas en Google, y en julio de 2026 el Grok Build de terminal subía archivos de usuarios sin preguntar, incluidas claves SSH. Los problemas con el uso compartido afectan también a otros: con el mismo método, Claroc encontró unas 6800 conversaciones compartidas de Meta Muse, y en julio aparecieron en las búsquedas chats y artefactos de Claude de Anthropic. La lección general para la industria es que el botón «Compartir» en un producto de IA es una zona de seguridad, no solo una cuestión de UX.