Grok Build: mais de 35 mil apps tiveram dados expostos
Mais de 35 mil aplicativos criados com o Grok Build ficaram acessíveis pela internet e, em alguns casos, expuseram dados médicos, informações comerciais e documentos internos. A descoberta é da empresa de cibersegurança Claroc, segundo uma apuração do Ars Technica.
Entre os projetos identificados havia aplicações associadas à SpaceX e a organizações dos setores de saúde, defesa e infraestrutura. Os pesquisadores encontraram endereços em registros públicos de DNS; em determinadas situações, bastava abrir o link para acessar o aplicativo e seus dados.
Tabela de conteúdos
Como os aplicativos do Grok Build foram encontrados
O Grok Build permite criar aplicativos a partir de instruções em texto ou voz e disponibilizá-los para testes ou uso interno. Ao compartilhar um projeto, a ferramenta gera um endereço composto por palavras aleatórias.
Embora um endereço desse tipo possa ser difícil de adivinhar, isso não significa que ele esteja protegido por autenticação. A Claroc identificou links em bases de DNS passivo, serviços que registram domínios observados na internet e podem ajudar a localizar endereços já existentes.
Segundo a apuração, Asaf Aprozper, cofundador e diretor de tecnologia da Claroc, reuniu dezenas de milhares de endereços dessa maneira. A configuração de compartilhamento aparentemente permitia que qualquer pessoa com o link abrisse o projeto, enquanto restringir o acesso exigia uma alteração manual.
A distinção é importante: um link não divulgado amplamente ainda pode ser descoberto por outros meios. Caso o aplicativo não peça autenticação ou não limite os usuários autorizados, conhecer o endereço pode ser suficiente para abri-lo.
Dados médicos e informações comerciais estavam entre os conteúdos
Um dos projetos identificados era um painel de saúde ocupacional de uma construtora peruana, com mais de 3 mil exames médicos de trabalhadores. Outro, ligado à Tesla, exibia informações de desempenho de 22 técnicos de um centro de serviços.
Também havia um checklist de cozinha de uma empresa de cruzeiros de luxo com nomes completos e números de identificação de tripulantes. Em outro caso, uma construtora dos Estados Unidos mantinha uma planilha com cerca de 583 potenciais compradores de imóveis.
Os exemplos envolvem tipos diferentes de informação. Dados médicos e identificadores pessoais podem afetar a privacidade das pessoas envolvidas, enquanto planilhas comerciais e painéis internos podem revelar detalhes sobre a operação das empresas.
A possibilidade de acessar um aplicativo, porém, não demonstra por si só que seus dados tenham sido copiados ou usados indevidamente. Também não há, nas informações disponíveis, uma confirmação de que todos os projetos encontrados continham dados confidenciais.
SpaceX restringiu acesso a projetos internos
A Claroc encontrou 24 aplicativos da SpaceX acessíveis pela internet. Entre os conteúdos estavam um plano confidencial de integração de um novo integrante da equipe de vendas e um mapa de territórios com informações sobre 594 contas.
Outros projetos expunham endereços de sistemas internos e propostas de anúncios no X. A empresa de segurança informou que comunicou o problema à SpaceX em 8 de novembro de 2026, mas não recebeu resposta.
Segundo o Ars Technica, a SpaceX removeu o acesso aos próprios projetos após ser procurada para comentar o caso. Naquele momento, os aplicativos de terceiros continuavam acessíveis. A situação posterior desses projetos não está esclarecida nas informações disponíveis.
O caso também chama atenção para os cuidados necessários ao criar sistemas com inteligência artificial. A facilidade de publicar uma aplicação não substitui a revisão de quem poderá acessá-la, especialmente quando ela utiliza dados pessoais ou informações internas de uma organização.
Perguntas frequentes sobre a exposição no Grok Build
Como reduzir o risco de exposição de um projeto?
Vale revisar as configurações de compartilhamento e restringir o acesso a usuários autorizados quando essa opção estiver disponível. Também é importante conferir se o aplicativo e os bancos de dados conectados contêm informações que não deveriam ficar acessíveis publicamente.
Trocar ou esconder o link é suficiente?
Não é uma proteção confiável por si só. Um endereço pode ser compartilhado ou aparecer em registros de domínio. Controles de acesso e autenticação são medidas mais adequadas para limitar quem consegue abrir um projeto.
O que fazer se um aplicativo com dados sensíveis ficou acessível?
O responsável deve restringir o acesso, identificar quais informações estavam disponíveis e acionar a equipe de segurança ou privacidade da organização. A avaliação pode indicar a necessidade de outras medidas, conforme os dados envolvidos e as obrigações aplicáveis.
