Die meisten offenen Apps waren Spiele, Landingpages oder Rechner. Etwa jede zehnte enthielt jedoch interne Geschäfts- oder Personendaten. Rund 2 Prozent der offenen Apps enthielten nach Schätzung der Forscher Material, das sie als hoch oder kritisch einstufen.

Unter den Mitarbeiter-Apps fanden sich ein vertraulicher Einarbeitungsplan für einen neu eingestellten Vertriebsmitarbeiter, eine Karte der Vertriebsgebiete mit 594 Kundenkonten sowie ein als vertraulich gekennzeichnetes Werbeangebot von X an eine US-Bundesbehörde. SpaceXSI, früher unter dem Namen xAI bekannt, hat inzwischen alle 24 Mitarbeiter-Apps entfernt, die Apps anderer Nutzer jedoch nicht, so die Forscher.

Die 30 weiteren identifizierbaren Organisationen stammen aus Bereichen von Bauwesen und Energie bis zu Gesundheitswesen und Rüstung. 26 von ihnen haben mehr als 1.000 Beschäftigte, 6 gehören zu den Fortune-500-Unternehmen. Offen lagen unter anderem:

  • eine durchsuchbare Liste mit mehr als 3.500 Beschäftigten einer Klinikgruppe
  • eine intensivmedizinische Übergabe zu einem einzelnen Patienten
  • die aktuelle Schichttafel einer Feuerwehr
  • eine Stundenzettel-App eines Auftragnehmers, in deren Code die Passwörter sämtlicher Mitarbeiter im Klartext standen

Grok kann aus einer im Chat eingegebenen Beschreibung eine funktionsfähige App bauen; der Hersteller hat diese Funktion am 19. August für alle Grok-Tarife freigegeben. Der Chat-Baukasten trägt denselben Namen Grok Build wie ein separates Programmierwerkzeug für das Terminal, bei dem am 14. Juli über hochgeladene Repositorys berichtet worden war. Laut der Ankündigung des Herstellers erhält jede veröffentlichte App eine eigene Subdomain von grok.me, und der Ersteller legt fest, wer sie öffnen darf.

Öffentlich wird eine App erst, wenn ihr Ersteller auf „Veröffentlichen“ klickt. Im kostenpflichtigen Konto der Forscher bot der folgende Schritt drei Zugriffsoptionen: „Jeder mit dem Link“, „Eingeladene Nutzer“ und „Nur du“. Vorausgewählt war „Jeder mit dem Link“.

Das ist entscheidend, weil die Adresse einer App nicht geheim bleibt, erklären die Forscher: Wer eine App öffnet, löst eine DNS-Abfrage nach ihrer Subdomain aus. Passive-DNS-Dienste zeichnen solche Abfragen auf, und jeder mit einem Konto kann diese Aufzeichnungen nach Mustern durchsuchen. Grok schlägt als App-Namen vier zufällige Wörter vor; etwa die Hälfte der gefundenen Namen folgte diesem Muster. Solche Namen sind schwer zu erraten, schützen aber nicht, wenn sie bereits in einer durchsuchbaren Liste stehen.

Zum Vergleich: Auch der App-Baukasten von ChatGPT legt jede App auf eine eigene Subdomain. Als die Forscher dort eine App teilten, stand der Zugriff jedoch auf „Nur ich“, bis sie ihn änderten. Eine in DNS-Daten gefundene ChatGPT-App-Adresse führe daher zu einer App, die nur ihr Besitzer öffnen kann.

Die Forscher ermittelten die Grok-App-Namen mit gängigen Methoden zur Subdomain-Erkennung und luden die Startseite jeder App einmal ohne Anmeldung. Um zu prüfen, welchen Schutz Grok selbst einbaut, erstellten sie zwei Test-Apps mit erfundenen Daten und veröffentlichten beide mit der vorausgewählten Einstellung „Jeder mit dem Link“. Die erste, eine Kontaktliste, erhielt eine Datenbank, aber keine Anmeldung. Ohne sich anzumelden, fügten die Forscher aus einem privaten Browserfenster einen Eintrag hinzu, den der nächste Besucher sah.

Die zweite, eine Kundenliste für ein vierköpfiges Vertriebsteam, bekam von Grok eigenständig Anmeldeschaltflächen für Google und X. Der von Grok geschriebene Code fügte jedoch jede angemeldete Person dem Team hinzu, bevor er prüfte, ob sie dazugehört – die Prüfung war damit immer erfolgreich. Ein nicht eingeladenes Google-Konto einer anderen Person als des Besitzers gelangte hinein, sah alle Kunden, bearbeitete einen Datensatz und löschte einen anderen. Diese Tests führten die Forscher nur an eigenen Apps durch; ob die gefundenen offenen Apps solche Änderungen zulassen, prüften sie nicht.

Ihre Erkenntnisse meldeten sie SpaceXSI am Sonntag über die in der security.txt-Datei angegebene Adresse, einschließlich zwei der Mitarbeiter-Apps; die übrigen 22 folgten am Montag. Bis zur Veröffentlichung hatte das Unternehmen nicht auf die Meldung reagiert, wohl aber Fragen eines Journalisten beantwortet. Demnach erklärte es, Grok-Apps blieben privat, bis ihr Ersteller sie teile. Das Veröffentlichen umfasse mehrere Schritte, darunter die Wahl zwischen „Nur du“ und „Jeder mit dem Link“ sowie einen rechtlichen Hinweis. Mitarbeiterkonten seien standardmäßig auf „Nur du“ eingestellt. Dennoch waren 24 Apps von Beschäftigten des Unternehmens und von X für jeden offen, betonen die Forscher.

Claroc hatte das Unternehmen gebeten, „Nur du“ zur Voreinstellung zu machen und eine Option einzuführen, die eine App auf die E-Mail-Domain eines Unternehmens beschränkt. Aus der Antwort ging laut den Forschern nicht hervor, dass SpaceXSI die Besitzer anderer offener Apps kontaktieren werde. Die Forscher haben daher selbst begonnen, betroffene Organisationen anzuschreiben, und bis zur Veröffentlichung drei per E-Mail informiert. Sämtliche App-Adressen und -Titel hielten sie zurück.

Dieselben Forscher hatten am 18. Oktober gezeigt, dass mit Metas KI-Agenten Muse geteilte Seiten über passive DNS auffindbar waren. Meta deaktivierte daraufhin das Teilen und kündigte am 22. Oktober eine Korrektur an, die geteilten Inhalten neue Adressen gab.

Claroc, das Werkzeuge zum Auffinden und Absichern KI-erstellter Apps verkauft, empfiehlt Organisationen folgende Prüfungen:

  • ermitteln, welche KI-App-Baukästen Beschäftigte nutzen – etwa Grok, Lovable, Replit, v0, Bolt, Base44 und Google AI Studio, die sich ohne Einrichtung durch die IT oder Firmenkonto verwenden lassen
  • bei Zugang zu passiven DNS-Daten die Domains der Baukästen abfragen und Treffer in einem privaten Browserfenster öffnen
  • sicherstellen, dass Grok-Apps mit internen Daten auf „Eingeladene Nutzer“ oder „Nur du“ stehen und Fremde eine Fehlerseite erhalten
  • eine Anmeldung mit einem firmenfremden Konto versuchen; gelingt sie, braucht die App eine Liste berechtigter Personen
  • die von jeder App geladenen Skripte auf Namen, E-Mail-Adressen und Passwörter prüfen und Apps ohne Besitzer zurückziehen

In den Tests der Forscher lieferte eine auf „Nur du“ gestellte App Fremden sowohl für die Seite als auch für ihre Daten einen 401-Fehler; das Zurückziehen der Veröffentlichung nahm eine App binnen Sekunden vom Netz.