3萬5578個Grok Build App免登入即可開啟

調查發現，3萬5578個Grok Build App在檢查時不須登入即可開啟，占當時可連線的3萬7571個App中的94.7%。這不代表同等數量的App含有敏感資料，也不代表已造成相同比例的實際損害。

資安公司Claroc在10日公布的調查報告中表示，該公司檢查了4萬3551個位於grok.me子網域的App網址。登入狀態的判定對象，是檢查當時仍在線上的App。

Grok Build是讓使用者透過對話建立並發布App、遊戲或網站的工具。SpaceXSI在8月19日的產品公告中表示，所有網頁版與行動版方案都能使用這項功能。

每個已發布的App都有專屬的grok.me網址，建立者可選擇「只有我」、「持有連結者」或「公開給所有人」等存取範圍。

Claroc指出，即使沒有直接收到連結，其他人仍可能找到App網址。使用者開啟App時產生的DNS查詢紀錄可能留存在被動式DNS服務中，搜尋這些紀錄便可能發現網址。

Claroc表示，當時在線上的公開App多為遊戲、介紹頁面和計算機，調查發現的App也並非全都含有敏感資料。不過，部分App中可見醫院員工名單與重症患者資訊；一款排班App的程式碼還包含未經加密的員工帳號密碼。

除了SpaceXSI與X之外，Claroc也辨識出30個組織的公開App含有內部資料。報告指出，其中26個組織有逾1000名員工，6個是Fortune 500企業。

調查也涵蓋SpaceXSI與X員工建立的24個App。Claroc表示，這些App中可見標示為機密的新進員工到職計畫、涵蓋594個帳戶的銷售區域地圖，以及廣告提案等資料。

Claroc於8日通知SpaceXSI相關問題，並在隔天提供後續發現的員工App。報告指出，SpaceXSI已下架24個員工建立的App。

Claroc使用兩個自行建立的測試App檢查發布設定與驗證機制。該公司表示，在一款團隊用測試App中，未受邀的Google帳戶仍能讀取、修改及刪除自己的資料。

Claroc表示，資料變更測試只在該公司建立的App中進行，沒有修改其他使用者App的資料，也沒有呼叫其伺服器函式。

對於發布設定的預設值，Claroc與SpaceXSI說法不同。Claroc表示，付費測試帳戶的預設選項是「持有連結者」；SpaceXSI則回覆，建立者選擇分享前，App會維持私人狀態，員工帳戶的預設值是「只有我」。

SpaceXSI的官方產品公告並未說明一般使用者帳戶的預設選項，因此，Claroc在付費測試帳戶中觀察到的設定，應與SpaceXSI所述的員工帳戶預設值分開看待。

Claroc建議將「私人」設為預設值、依組織電子郵件網域管理存取權限、在單一主機下使用路徑，以及在不含資料庫與登入功能的App發布前顯示警告。該公司表示，截至報告公布時，已透過電子郵件通知3個相關組織。