Claroc: 95% из 37 тысяч приложений, собранных в Grok, открыты всем без логина

Представьте: вы за вечер собрали во внутренний инструмент для отдела, нажали «Опубликовать» и пошли спать. Утром оказывается, что к нему может зайти любой, кто знает адрес. А адрес узнать несложно. Примерно так выглядит история, которую описала охранная компания Claroc про приложения, созданные в Grok.

Что нашли исследователи

В режиме Build у SpaceXSI (бывшая xAI) пользователь описывает приложение в чате, а Grok пишет код. Публичным оно становится после кнопки «Publish», и тогда получает собственный адрес на grok.me. Claroc проверила 37 571 приложение, которое всё ещё было онлайн. 35 578 из них открывались без какого-либо входа. Это 94,7%.

Большинство — безобидные игры, лендинги и калькуляторы. Но примерно каждое десятое содержало чувствительные данные: внутренние бизнес-материалы или персональную информацию. Около 2% исследователи отнесли к особенно тяжёлым случаям и оценили, что в 650–800 приложениях лежали приватные данные.

Примеры подтверждённых находок:

• реанимационная сводка с лабораторными показателями пациента;
• список из более чем 3500 сотрудников больничной группы;
• график смен пожарной части;
• исходник приложения для учёта рабочего времени с 18 аккаунтами и паролями открытым текстом.

Затронуты 30 организаций помимо SpaceXSI и X, шесть из них — из списка Fortune 500. Названия Claroc не раскрывает. Среди 24 открытых приложений сотрудников самой SpaceXSI и X нашлись конфиденциальный план онбординга для менеджера по корпоративным продажам, карта территорий с 594 стратегическими клиентами и восемь рекламных предложений для X. Одно из них адресовано федеральному ведомству США и помечено как конфиденциальное.

Почему так вышло

По версии Claroc, причин три. Первая: в диалоге публикации на платном тестовом аккаунте уже стоял вариант «Anyone with the link». Человек, который торопится, просто не меняет предвыбранное. Вторая: у каждого приложения свой поддомен, поэтому после первого визита его имя попадает в коммерческие базы пассивного DNS, где можно искать по шаблону. Ссылка, которую никому не показывали, перестаёт быть секретной.

Третья причина — код, который пишет сама модель. В одном тестовом приложении у списка контактов база оказалась без авторизации, и анонимы могли добавлять записи. В другом, клиентской базе для отдела продаж, Grok сам прикрутил вход через Google и X. Но логика была перевёрнута: каждого вошедшего пользователя сначала добавляли в команду и только потом проверяли членство. Любой чужой Google-аккаунт мог читать, править и удалять записи. Claroc уточняет, что тесты на запись и удаление запускала только на собственных приложениях.

Правильные настройки у Grok есть: при выборе «Only you» чужаков система не пускала. Просто это не вариант по умолчанию. В аналогичном тесте с ChatGPT свежесозданное приложение при шаринге по умолчанию получало «Only me». Адрес тоже может засветиться в DNS, но откроет его только владелец.

Что важно учесть

Сразу оговорка: Claroc продаёт решения по безопасности для приложений, созданных ИИ, так что интерес у фирмы есть. Однако механика проблемы проверяема и не зависит от мотивов отчёта. SpaceXSI в ответ сказала лишь, что приложения приватны, пока владелец не поделится, что публикация требует нескольких шагов, включая юридическое уведомление, и что у сотрудников по умолчанию «Only you». Claroc возражает: лишние клики бессмысленны, если на последнем шаге всё равно выбрано «для всех». Да и 24 открытых приложения сотрудников показывают, что строгий дефолт для персонала не спасает. Эти 24 приложения компания отключила, остальные осталась открытыми. Поэтому Claroc сама оповещает владельцев.

Для практики вывод простой:

• Перед публикацией любого сгенерированного приложения вручную проверяйте режим доступа, не доверяйте дефолту.
• Не кладите в vibe-coded приложения реальные данные клиентов, пациентов и сотрудников, пока не проверите авторизацию.
• Читайте код проверок доступа: порядок «добавить, потом проверить» — классическая ошибка, и модель её воспроизводит.
• Если вы делаете собственный продукт с публикацией приложений, берите приватный дефолт, непредсказуемые пути на общем хосте вместо поддоменов и предупреждение «есть база, но нет логина». Именно это предлагает Claroc.

Это как минимум третий приватностный инцидент SpaceXSI вокруг Grok: в августе 2025 года Forbes нашёл более 370 000 расшаренных диалогов в Google, а в июле 2026-го терминальный Grok Build без спроса загружал файлы пользователей, включая SSH-ключи. Проблемы с шерингом есть и у других: тем же методом Claroc нашла около 6800 расшаренных диалогов Meta Muse, а у Anthropic в июле в поиске всплывали чаты и артефакты Claude. Общий урок для индустрии: кнопка «Поделиться» в ИИ-продукте — это зона безопасности, а не просто UX.