11 ноября «Арс Техника» сообщила, что компания по кибербезопасности «Кларок» обнаружила: 35 578 из 37 571 доступных онлайн-приложений Grok Build можно было открыть без авторизации. По данным издания, значительно меньшая часть приложений — от 650 до 800 — предположительно содержала частные или конфиденциальные данные, а 24 выявленные ссылки на приложения, связанные со SpaceXSI, впоследствии были удалены.

Что говорится в отчёте об утечке через Grok Build

Текущий эпизод основан на заслуживающем доверия сообщении СМИ о раскрытом доступе к данным, а не на изученном официальном уведомлении xAI об инциденте. По данным «Арс Техника», «Кларок» выявила 35 578 доступных приложений среди 37 571 находившихся онлайн приложений Grok Build — около 94,7%.

Этот показатель отражает возможность доступа без входа в аккаунт, а не подтверждённое раскрытие конфиденциальных данных во всех таких приложениях. В том же материале число приложений, содержащих частные или чувствительные данные, оценивалось примерно в 650–800, при этом многие другие доступные приложения представляли собой обычные игры, калькуляторы или лендинги.

xAI по меньшей мере подтверждает, что сам продукт существует и был запущен недавно: на официальной новостной странице компании указано, что Grok Build был представлен в ранней бета-версии 2026/05/25 для подписчиков SuperGrok и X Premium Plus. Это связывает публикацию с официальным продуктом xAI, а не с непроверенным сторонним инструментом.

Как, по сообщениям, работал доступ без входа

Согласно материалу «Арс Техника», проблема возникла при сочетании двух условий. Во-первых, как утверждает «Кларок», поддомены приложений Grok Build можно было собрать через записи пассивного DNS. Во-вторых, после обнаружения адреса приложения для доступа к некоторым из них, как сообщается, не требовалась дополнительная авторизация в аккаунте.

Это принципиальное различие. Ссылку, которую сложно угадать, нельзя приравнивать к приложению с аутентификацией. Если имя хоста можно обнаружить извне, а само приложение не применяет иных ограничений, одной лишь неочевидности адреса может оказаться недостаточно для предотвращения внешнего доступа.

Предоставленные доказательства не позволяют установить, были ли причиной настройки продукта по умолчанию, параметры общего доступа, выбранные создателями приложений, или иное проектное решение. Они также не дают оснований называть произошедшее взломом или вторжением. Более точное описание сводится к сообщаемому сочетанию обнаруживаемых адресов приложений и отсутствующих либо недостаточных средств контроля доступа в части приложений.

Что удалено и какие вопросы остаются открытыми

Наиболее обоснованный вывод о статусе исправления — частичное устранение проблемы, а не подтверждённое закрытие уязвимости по всей платформе. «Арс Техника» сообщила, что 24 выявленные ссылки на приложения, связанные со SpaceXSI, были удалены и на момент публикации возвращали сообщение "app not found".

В том же отчёте отмечалось, что почти все остальные данные, выявленные «Кларок», на тот момент оставались доступными. Таким образом, имеющиеся свидетельства подтверждают точечное удаление названных примеров, но не позволяют сделать более широкий вывод об исправлении Grok Build в целом.

В публикации также указывалось, что среди конфиденциальных примеров были внутренние деловые документы, результаты медицинских обследований, имена и идентификационные номера сотрудников, а также пароли; при этом 24 выявленных приложения, связанных со SpaceXSI и сотрудниками X, содержали материалы по продажам и рекламе. Однако ни одно изученное официальное заявление xAI, SpaceXSI, X или SpaceX не подтверждает эти выводы и не разъясняет, изменились ли с тех пор настройки общего доступа, требования к аутентификации или порядок более широкой проверки.