SpaceX ve xAI’ın birleşmesiyle kurulan SpaceXSI’ın sunduğu Grok Build’deki açığı, güvenlik şirketi Claroc ortaya çıkardı. Araştırmaya göre basit bir mühendislik hatası ve yanlış yapılandırılmış varsayılan paylaşım ayarı, binlerce uygulamayı içindeki hassas bilgilerle birlikte erişilebilir hâle getirdi. Bağlantıyı bulan herkes bu verilere ulaşabiliyordu. Şifre girmesine bile gerek yoktu. SpaceXSI çalışanlarının hazırladığı 24 uygulamada şirketin gizli satış planları bulunuyordu. Diğer uygulamalarda ise Tesla teknisyenlerinin performans karnelerinden yoğun bakım hastalarının laboratuvar sonuçlarına kadar uzanan kayıtlar vardı. Deneme için hazırlanmış birkaç dosya değildi bunlar. Kullanıcılar, kurum içi belgelerini ve özel bilgilerini de platforma taşımıştı. Grok Build’deki veriler nasıl açığa çıktı? Grok Build’de bir uygulama yayınlandığında sistem, rastgele dört kelimeden oluşan özel bir web adresi atıyor. Bu kelimeler “grok.me” alan adının başına eklendiği için adresler pasif DNS hizmetleri üzerinden tespit edilip listelenebiliyor. Google ve ChatGPT gibi rakipler gizli bağlantılara ait bölümleri URL’nin sonuna yerleştirirken Grok Build’in kullandığı yapı, uygulama adreslerinin bulunmasını kolaylaştırdı. Paylaşım ayarı da uygulamalar yayınlanırken otomatik olarak “Bağlantıya sahip olan herkes” şeklinde seçiliyordu. Çoğu kullanıcı bu ayarı fark etmedi. Böylece DNS kayıtlarından bulunan adresler, uygulamalara ve içlerindeki hassas verilere şifresiz erişmek için yeterli oldu. Hastane kayıtları, Tesla belgeleri ve yönetici şifreleri Claroc’un incelediği dosyalar arasında 3.500 kişilik bir hastane personel rehberi ve lüks bir yolcu gemisinin gizli mürettebat denetim formu yer alıyordu. Yoğun bakım hastalarına ait laboratuvar sonuçları da erişime açık kayıtlardandı. Tesla’ya ait bir teknisyen puan kartı ile ABD Donanması için çalışan bir mühendislik yüklenicisinin personel listesi de sızan belgeler arasındaydı. Bir şirketin dijital zaman çizelgesinin arka plan kodlarında ise 18 yöneticinin şifresi açık metin hâlinde duruyordu. SpaceXSI kendi verilerini birkaç saat içinde gizledi Araştırmacılar açığı 8 Kasım’da şirkete bildirdi. Birkaç saat içinde SpaceXSI ve X çalışanlarına ait gizli iş planları ile reklam bütçelerini içeren 24 uygulamaya erişim kapatıldı. Diğer kullanıcıların ve Fortune 500 şirketlerinin verileri ise günlerce internette açık kaldı. Kendi belgelerini hızla erişimden kaldıran şirket, başka kurumların verilerini de tehlikeye atan bu durumla ilgili dışarıdan gelen uyarılara günlerce yanıt vermedi.