A auditoria da firma de segurança Claroc percorreu 37.571 aplicativos criados no modo Build do Grok que continuavam no ar e achou 35.578 deles abertos a qualquer visitante com o endereço em mãos, sem tela de login. O índice de 94,7% transforma uma ferramenta de prototipagem rápida em vitrine involuntária de prontuários, credenciais e documentos corporativos — inclusive material interno da SpaceXSI, dona do assistente, e da rede X.
Um clique entre o rascunho e o domínio público
No Build, o usuário descreve por chat o aplicativo que quer e o Grok escreve o código. O endereço próprio em grok.me só nasce quando o criador aciona Publish. A Claroc aponta o diálogo de publicação como origem do problema: na conta paga usada nos testes, a opção Anyone with the link já vinha marcada. Os endereços também são fáceis de garimpar: cada app ganha um subdomínio — a parte que antecede o domínio principal — e o nome entra em bases comerciais de DNS passivo, um arquivo de consultas a sites pesquisável por padrão, logo depois da primeira visita.
O mapa do que ficou exposto
| Métrica | Valor |
|---|---|
| Apps ainda no ar verificados | 37.571 |
| Abertos sem autenticação | 35.578 (94,7%) |
| Apps ligados a funcionários da SpaceXSI e da X | 24 |
| Canais de chat no plano de integração vazado | 19 |
| Contas estratégicas no mapa de vendas exposto | 594 |
| Propostas de anúncios da X acessíveis | 8 |
| Estimativa de apps com dados privados | 650 a 800 |
| Contas com senha em texto puro em app de ponto | 18 |
| Funcionários de grupo hospitalar em lista aberta | 3.500 |
| Organizações afetadas identificadas | 30 (6 na Fortune 500) |
A maioria dos apps abertos era de jogos, páginas de captura e calculadoras. Cerca de um em cada dez carregava material sensível, dado de negócio ou informação pessoal, e a firma classifica aproximadamente 2% como grave.
Do leito de UTI ao pipeline comercial
Casos confirmados incluem um resumo de UTI com valores de exames de um paciente, uma lista com mais de 3.500 funcionários de um grupo hospitalar e a escala de plantão de um corpo de bombeiros. No código-fonte de um app de controle de ponto havia 18 contas com senhas em texto puro, sem qualquer embaralhamento criptográfico.
Na SpaceXSI e na X, 24 aplicativos abertos saíram de funcionários. Um deles era o plano de integração de um novo integrante do time de vendas corporativas, com endereços de sistemas internos e 19 canais de chat. Também estava acessível um mapa de território com 594 contas estratégicas e dados de pipeline, além de oito propostas de anúncios da X — uma destinada a uma agência federal americana e marcada como confidencial. Relatórios de campanha e painéis de gasto publicitário completavam o conjunto.
Além de SpaceXSI e X, a Claroc identificou 30 organizações atingidas, seis delas na Fortune 500, e não divulgou os nomes.
A lógica de permissão que falhou
Dois apps de teste da própria Claroc revelaram um problema extra. Um deles, de lista de contatos, ficou com banco de dados sem autenticação, e visitantes anônimos podiam incluir registros. No outro, uma lista de clientes de equipe de vendas, o Grok adicionou sozinho login via Google e via X — mas o código incluía todo usuário autenticado ao time antes de conferir se ele pertencia ao grupo. Uma conta Google de fora conseguia ler, editar e apagar registros. A firma afirma ter feito testes de escrita e exclusão apenas nos próprios apps.
A configuração segura existe: em Only you, o app de teste barrou o acesso externo. Só não é o padrão. Em teste comparativo, um app novo no ChatGPT veio como Only me ao ser compartilhado; o endereço pode aparecer em registros de DNS, mas leva a uma aplicação que só o dono abre.
A resposta da SpaceXSI
A SpaceXSI respondeu à divulgação dizendo que os apps são privados até o criador compartilhá-los, que a publicação exige várias etapas — com aviso legal entre elas — e que contas de funcionários já saem com Only you. A Claroc rebate: cliques adicionais não ajudam se Anyone with the link segue pré-selecionado no passo final, e os 24 apps abertos de empregados mostram o quanto o padrão mais rígido para contas corporativas rende pouco.
A firma propõe tornar Only you o padrão, mostrar quem terá acesso antes de publicar, alertar quando houver banco de dados sem login e hospedar as aplicações em caminhos difíceis de adivinhar dentro de um host compartilhado, em vez de subdomínios nominais que vazam para bases de DNS.
Após a divulgação, a SpaceXSI retirou os 24 apps de funcionários, mas manteve no ar os aplicativos abertos de outros usuários e organizações. A Claroc ofereceu a lista completa sob sigilo; sem compromisso da empresa de avisar os donos, passou a notificá-los diretamente. Há interesse comercial na história: a firma vende soluções de segurança para aplicativos construídos com IA.
O terceiro tropeço da mesma série
É pelo menos o terceiro incidente de privacidade da SpaceXSI com o Grok. Em agosto de 2025, mais de 370 mil conversas compartilhadas do assistente apareceram em resultados do Google Search. Em julho de 2026, a ferramenta de terminal Grok Build enviou arquivos de usuários aos servidores da empresa sem pedir autorização, entre eles chaves SSH e bancos de senhas. A autoridade de proteção de dados da Irlanda investiga se a X negligenciou proteção desde a concepção por causa de deepfakes sexuais gerados pelo Grok.
O enredo se repete fora da casa. Com o mesmo método de DNS passivo, a Claroc localizou cerca de 6.800 conversas compartilhadas do Muse, agente da Meta, em outubro. Na Anthropic, chats e artefatos compartilhados do Claude surgiram em buscadores em julho, incluindo apps montados por usuários.
A leitura para quem investe
O elo fraco não está na capacidade do modelo, e sim na configuração de entrega. Para quem avalia risco em empresas de IA, a camada que decide o tamanho da conta é a de permissões, publicação e auditoria — não o ranking de benchmarks.
O episódio reforça que adoção de ferramentas de produtividade com IA vem com custo de governança embutido. Vazamentos assim costumam migrar para cláusulas contratuais, exigências de auditoria e exposição regulatória, pressões que encarecem a operação de quem compra e ampliam o mercado de quem vende proteção.
Existe um trade-off de produto: cada confirmação adicional reduz a velocidade que sustenta a adoção dessas plataformas. Fornecedores que eliminam o atrito sem repetir o padrão de publicação aberta ganham argumento na venda corporativa. Do lado de quem usa, o recado é tratar qualquer app gerado por IA como sistema em produção, com inventário, dono e revisão de acesso — e lembrar que a firma que revelou o problema também comercializa a solução.