Apps criados com Grok expuseram dados de pacientes e senhas em texto puro

O que a Claroc encontrou nos apps feitos com Grok

A empresa de segurança Claroc varreu 37.571 aplicativos criados com o Grok, o assistente de IA da SpaceXSI (antiga xAI), e descobriu que 35.578 deles, 94,7%, estavam acessíveis a qualquer pessoa sem precisar fazer login, segundo o relatório divulgado nesta semana e reportado pelo The Decoder.

O recurso usado para criar esses apps se chama Build mode: o usuário descreve o que quer num chat e o Grok escreve o código sozinho. O app só fica público quando o criador clica em Publicar, o que gera um endereço próprio no domínio grok.me. O problema, segundo a Claroc, está na tela de publicação: numa conta paga usada pelo time nos testes, a opção "qualquer pessoa com o link" já vinha pré-selecionada.

Dados sensíveis expostos, de hospitais à própria SpaceXSI

Entre os apps abertos, 24 pertenciam a funcionários da SpaceXSI e do X. Um deles era um plano de integração confidencial para um novo vendedor, com endereços de sistemas internos e 19 canais de chat. Outro era um mapa de território de vendas com 594 contas estratégicas e dados do funil comercial, além de oito propostas de anúncios do X, uma delas endereçada a uma agência federal dos Estados Unidos e marcada como confidencial.

A maioria dos apps abertos eram jogos, landing pages ou calculadoras sem risco. Mas cerca de 10% continham material sensível, dados internos de empresas ou informação pessoal, e a Claroc classifica 2% como especialmente graves. A estimativa da empresa é de 650 a 800 apps com dados privados reais, espalhados por 30 organizações além da própria SpaceXSI, seis delas da lista Fortune 500. Entre os casos confirmados:

• um resumo de UTI com valores laboratoriais de um paciente;
• uma lista com mais de 3.500 funcionários de uma rede hospitalar;
• a escala de plantão de um corpo de bombeiros;
• o código-fonte de um app de ponto eletrônico com 18 contas e senhas em texto puro.

O bug de controle de acesso que a Claroc achou nos próprios testes

Além de varrer apps já publicados, a Claroc criou os próprios apps de teste para entender como o Grok lida com autenticação, e achou um padrão que interessa direto a quem programa. Num app de lista de contatos, o banco de dados ficou sem exigir login algum, deixando visitantes anônimos adicionarem registros livremente.

Num segundo teste, uma lista de clientes para equipe de vendas, o Grok adicionou sozinho login via Google e X. Só que o código gerado primeiro incluía qualquer visitante autenticado como membro da equipe e só depois checava se ele de fato pertencia a ela. Na prática, uma conta Google de fora conseguia ler, editar e apagar registros antes da verificação acontecer.

No jargão de segurança, esse tipo de falha é chamado de IDOR (referência direta a objeto sem controle adequado) ou, na lista da OWASP para APIs, de autorização quebrada em nível de objeto. É um erro clássico de ordem de verificação: checar permissão depois de conceder acesso, em vez de antes. A Claroc diz ter rodado testes de escrita e exclusão só nos próprios apps, não nos de terceiros.

Por que as URLs eram tão fáceis de achar

Cada app publicado ganha um subdomínio próprio, e esse nome aparece em bancos de dados de DNS passivo assim que alguém o visita pela primeira vez. Esses bancos são públicos e podem ser varridos por padrão de nome, o que tornou trivial para a Claroc montar a lista de endereços sem precisar invadir nada: bastou consultar registros de DNS já indexados.

Quando o Grok está configurado para "só você", o acesso externo é de fato bloqueado, segundo o teste da Claroc. O problema não é a opção existir, é ela não ser o padrão. Num teste equivalente com o ChatGPT, um app recém-publicado veio como "só eu" por padrão ao ser compartilhado; o endereço também pode aparecer em bases de DNS, mas leva a um app que só o dono consegue abrir.

A resposta da SpaceXSI e o que ainda falta corrigir

A SpaceXSI respondeu à divulgação dizendo que os apps são privados até o criador compartilhá-los, que publicar exige várias etapas incluindo um aviso legal, e que contas de funcionários vêm com "só você" por padrão. A Claroc rebate que etapas extras não ajudam se "qualquer pessoa com o link" continua pré-selecionado na tela final, e lembra que os 24 apps abertos de funcionários mostram como esse padrão mais restrito para contas corporativas, na prática, não impediu nada.

A empresa propôs quatro mudanças:

1. tornar "só você" o padrão de publicação;
2. mostrar quem terá acesso antes de publicar;
3. avisar quando um app tem banco de dados mas nenhum login;
4. trocar subdomínios individuais por caminhos difíceis de adivinhar num host compartilhado, para que o nome do app não vaze em bases de DNS.

A SpaceXSI já tirou do ar os 24 apps de funcionários, mas não removeu os apps abertos de outros usuários e organizações. A Claroc se ofereceu para passar a lista completa de endereços em sigilo; como a empresa não se comprometeu a avisar os donos afetados, a Claroc está notificando-os diretamente. Vale registrar que a Claroc vende soluções de segurança para apps construídos com IA, o que é também o interesse comercial dela em divulgar o caso.

Não é o primeiro incidente de privacidade do Grok, nem o único entre concorrentes

Este é pelo menos o terceiro episódio de exposição de dados envolvendo o Grok. Em agosto de 2025, a Forbes encontrou mais de 370 mil conversas compartilhadas do Grok indexadas no Google. Em julho de 2026, a ferramenta de terminal Grok Build enviou arquivos de usuários para os servidores da empresa sem pedir permissão, incluindo chaves SSH e bancos de senhas. A autoridade de proteção de dados da Irlanda também investiga se o X negligenciou a privacidade desde o design por causa de deepfakes sexualizados gerados pelo Grok.

O problema não é exclusivo da SpaceXSI. Usando o mesmo método de busca em DNS passivo, a Claroc rastreou cerca de 6.800 conversas compartilhadas do Muse, o agente de IA da Meta, em outubro. Na Anthropic, conversas e artefatos compartilhados do Claude apareceram em buscadores em julho, incluindo apps feitos por usuários da plataforma.

O que isso significa para quem constrói com IA generativa

Para quem desenvolve, o caso é menos sobre o Grok especificamente e mais sobre um padrão de risco que vale para qualquer ferramenta de "vibe coding", nome que o mercado usa para descrever gerar apps inteiros a partir de descrição em linguagem natural: o modelo escreve o backend, o banco de dados e a autenticação, mas quem publica raramente revisa esse código linha a linha.

Três pontos concretos para levar desse relatório:

• Nunca confie no padrão de compartilhamento de uma ferramenta de geração de apps. Se o fluxo de publicação não mostra claramente quem vai ter acesso antes de confirmar, trate como público até provar o contrário.
• Revise a ordem das checagens de autorização em código gerado por IA, principalmente em telas de login e controle de equipe: o bug do app de vendas da Claroc (adicionar o usuário antes de verificar permissão) é um erro que passa fácil numa revisão superficial.
• Evite arquitetura com subdomínio previsível por app quando o conteúdo for sensível. Caminhos aleatórios num host compartilhado são mais difíceis de descobrir por varredura de DNS passivo do que nome-do-app.dominio.com.

O episódio reforça um ponto que já apareceu nos vazamentos do Muse e do Claude: delegar a governança de segurança para quem publica, sem padrão seguro de fábrica, tende a vazar dado real em escala, porque a maioria dos usuários nunca vai mexer numa configuração que já parece estar certa.

Fonte: The Decoder