Tronlar
Gamma
Verificación en dos pasos activada
¡Usuario con pocos negocios! ¡Utiliza siempre saldo de Forobeta!
Una investigación de la empresa de ciberseguridad Claroc, publicada el 10 de noviembre de 2026, ha descubierto que miles de aplicaciones desarrolladas mediante Grok Build, la herramienta de inteligencia artificial de la compañía responsable de Grok, podían consultarse públicamente sin necesidad de iniciar sesión.
Entre las aplicaciones identificadas había herramientas empresariales, bases de datos de empleados, información sanitaria y documentos internos de grandes compañías, incluyendo aplicaciones creadas por trabajadores de X y de la propia empresa desarrolladora de Grok.
Más de 35.000 aplicaciones accesibles
Los investigadores localizaron 43.601 nombres de subdominios asociados a Grok y comprobaron cuáles seguían disponibles.
De las 37.571 aplicaciones activas examinadas, 35.578 (el 94,7 %) podían abrirse sin autenticación. Las otras 1.993 devolvían un error de acceso.
Aunque la mayoría eran juegos, calculadoras o páginas sencillas, los investigadores estiman que entre 650 y 800 aplicaciones contenían información privada. Aproximadamente un 2 % de las aplicaciones accesibles presentaba exposiciones consideradas de gravedad alta o crítica.
Datos internos de X y de grandes empresas
Claroc identificó 24 aplicaciones creadas por empleados de X y de la empresa responsable de Grok que estaban accesibles públicamente.
Entre ellas encontraron:
- Un plan confidencial de incorporación de empleados.
- Un mapa comercial con 594 cuentas estratégicas.
- Propuestas publicitarias y presupuestos internos.
- Una propuesta dirigida a una agencia federal estadounidense, marcada como confidencial.
También identificaron información interna perteneciente a otras 30 organizaciones, seis de ellas incluidas en Fortune 500.
Los casos más preocupantes incluían información clínica de un paciente de cuidados intensivos, una lista de más de 3.500 empleados de un grupo hospitalario y una aplicación de control horario cuyo código contenía contraseñas de trabajadores en texto plano.
El problema: compartir mediante enlace no garantiza privacidad
Grok Build permite crear aplicaciones describiendo lo que queremos mediante lenguaje natural, sin necesidad de programarlas manualmente.
Cada aplicación publicada recibe una dirección propia bajo el dominio
grok.me.El problema es que estas direcciones pueden aparecer en registros de DNS pasivo, utilizados para identificar subdominios existentes.
Esto significa que una dirección difícil de adivinar puede terminar siendo localizable aunque su creador nunca haya compartido directamente el enlace con un desconocido.
En la cuenta utilizada por los investigadores, al publicar una aplicación aparecía preseleccionada la opción «Anyone with the link», que permite acceder a cualquier persona que disponga del enlace.
Una aplicación de prueba permitía entrar a usuarios no autorizados
Para comprobar qué medidas de seguridad implementaba Grok, los investigadores crearon dos aplicaciones con datos ficticios.
Una de ellas era una herramienta de gestión de clientes para un equipo de cuatro comerciales.
Grok añadió automáticamente botones para iniciar sesión mediante Google o X. Sin embargo, el código incorporaba a cualquier usuario autenticado al equipo antes de comprobar si estaba autorizado.
Como resultado, una cuenta de Google que no había sido invitada consiguió acceder a los registros, modificar uno y eliminar otro.
Esta prueba se realizó exclusivamente sobre aplicaciones creadas por los investigadores.
No demuestra que las demás aplicaciones expuestas permitieran modificar o borrar información.
¿Qué ha respondido la empresa de Grok?
La compañía explicó que las aplicaciones no se hacen públicas automáticamente al crearlas y que los usuarios deben completar varios pasos para publicarlas.
También indicó que las cuentas de sus empleados utilizan una configuración privada por defecto.
Tras recibir el aviso de Claroc, retiró las 24 aplicaciones identificadas como pertenecientes a su personal.
Sin embargo, en el momento de publicarse la investigación no había confirmado una retirada general de las aplicaciones de terceros ni un cambio en la configuración predeterminada para los usuarios ordinarios.
¿Qué deberían tener en cuenta quienes crean aplicaciones con IA?
Este caso es especialmente relevante para desarrolladores, webmasters y emprendedores que utilizan herramientas como Grok, Lovable, Bolt, Replit o plataformas similares.
Una aplicación generada por inteligencia artificial puede parecer completamente funcional y, aun así, carecer de controles adecuados de acceso.
Antes de publicar una herramienta que maneje información privada conviene comprobar que los datos no sean accesibles sin autorización, que iniciar sesión no conceda permisos automáticamente y que las contraseñas o claves API no aparezcan en el código enviado al navegador.
También es recomendable comprobar la aplicación desde una ventana privada y con una cuenta que no tenga permisos.
El problema no es simplemente que la IA genere código, sino publicar aplicaciones sin comprobar cómo gestionan la seguridad y los datos.
Fuentes:
Última edición:
