Tronlar
Gamma
Verificación en dos pasos activada
Usuário com poucas negociações! Use sempre o saldo do ForoBeta!
Uma investigação da empresa de cibersegurança Claroc, publicada em 10 de novembro de 2026, descobriu que milhares de aplicativos desenvolvidos com o Grok Build, a ferramenta de inteligência artificial da empresa responsável pelo Grok, podiam ser consultados publicamente sem necessidade de fazer login.
Entre os aplicativos identificados havia ferramentas empresariais, bancos de dados de funcionários, informações de saúde e documentos internos de grandes empresas, incluindo aplicativos criados por funcionários do X e da própria empresa desenvolvedora do Grok.
Mais de 35.000 aplicativos acessíveis
Os pesquisadores localizaram 43.601 nomes de subdomínios associados ao Grok e verificaram quais continuavam disponíveis.
Dos 37.571 aplicativos ativos examinados, 35.578 (94,7 %) podiam ser abertos sem autenticação. Os outros 1.993 retornavam um erro de acesso.
Embora a maioria fossem jogos, calculadoras ou páginas simples, os pesquisadores estimam que entre 650 e 800 aplicativos continham informações privadas. Aproximadamente 2 % dos aplicativos acessíveis apresentavam exposições consideradas de gravidade alta ou crítica.
Dados internos do X e de grandes empresas
A Claroc identificou 24 aplicativos criados por funcionários do X e da empresa responsável pelo Grok que estavam acessíveis publicamente.
Entre eles, encontraram:
- Um plano confidencial de integração de funcionários.
- Um mapa comercial com 594 contas estratégicas.
- Propostas publicitárias e orçamentos internos.
- Uma proposta dirigida a uma agência federal norte-americana, marcada como confidencial.
Também identificaram informações internas pertencentes a outras 30 organizações, seis delas incluídas na Fortune 500.
Os casos mais preocupantes incluíam informações clínicas de um paciente de terapia intensiva, uma lista de mais de 3.500 funcionários de um grupo hospitalar e um aplicativo de controle de ponto cujo código continha senhas de funcionários em texto puro.
O problema: compartilhar por link não garante privacidade
O Grok Build permite criar aplicativos descrevendo o que queremos em linguagem natural, sem necessidade de programá-los manualmente.
Cada aplicativo publicado recebe um endereço próprio sob o domínio
grok.me.O problema é que esses endereços podem aparecer em registros de DNS passivo, usados para identificar subdomínios existentes.
Isso significa que um endereço difícil de adivinhar pode acabar sendo localizável mesmo que seu criador nunca tenha compartilhado diretamente o link com um desconhecido.
Na conta usada pelos pesquisadores, ao publicar um aplicativo aparecia pré-selecionada a opção «Anyone with the link», que permite o acesso a qualquer pessoa que tenha o link.
Um aplicativo de teste permitia a entrada de usuários não autorizados
Para verificar quais medidas de segurança o Grok implementava, os pesquisadores criaram dois aplicativos com dados fictícios.
Um deles era uma ferramenta de gestão de clientes para uma equipe de quatro vendedores.
O Grok adicionou automaticamente botões para fazer login com Google ou X. No entanto, o código incorporava qualquer usuário autenticado à equipe antes de verificar se ele estava autorizado.
Como resultado, uma conta do Google que não havia sido convidada conseguiu acessar os registros, modificar um e excluir outro.
Esse teste foi realizado exclusivamente em aplicativos criados pelos pesquisadores.
Não demonstra que os demais aplicativos expostos permitissem modificar ou apagar informações.
O que respondeu a empresa do Grok?
A empresa explicou que os aplicativos não se tornam públicos automaticamente ao serem criados e que os usuários precisam completar várias etapas para publicá-los.
Também indicou que as contas de seus funcionários usam uma configuração privada por padrão.
Depois de receber o aviso da Claroc, retirou os 24 aplicativos identificados como pertencentes à sua equipe.
No entanto, no momento da publicação da investigação, não havia confirmado uma retirada geral dos aplicativos de terceiros nem uma mudança na configuração padrão para os usuários comuns.
O que devem levar em conta aqueles que criam aplicativos com IA?
Este caso é especialmente relevante para desenvolvedores, webmasters e empreendedores que usam ferramentas como Grok, Lovable, Bolt, Replit ou plataformas semelhantes.
Um aplicativo gerado por inteligência artificial pode parecer totalmente funcional e, mesmo assim, não ter controles de acesso adequados.
Antes de publicar uma ferramenta que lide com informações privadas, convém verificar que os dados não sejam acessíveis sem autorização, que fazer login não conceda permissões automaticamente e que as senhas ou chaves de API não apareçam no código enviado ao navegador.
Também é recomendável testar o aplicativo em uma janela anônima e com uma conta que não tenha permissões.
O problema não é simplesmente que a IA gere código, e sim publicar aplicativos sem verificar como eles lidam com a segurança e os dados.
Fontes:
Última edição: