Grok으로 만든 앱 3만5천 개, 로그인 없이 열렸다

Grok으로 만들어 게시한 앱 수만 개가 로그인 없이 열리는 상태였다는 조사 결과가 나왔다. 보안업체 Claroc은 11월 10일 보고서에서 앱 35,578개가 누구에게나 열렸다고 밝혔다. 이 앱은 Grok 웹·모바일의 앱 빌더(Build mode)로 만든 것이며, 터미널용 코딩 에이전트와는 다른 제품이다.

온라인 앱 37,571개 중 35,578개가 로그인 없이 열렸다

Grok 앱은 게시하면 <이름>.grok.me라는 주소가 생긴다. Claroc은 이 주소가 곧 호스트 이름이라 공개 DNS 기록(인터넷 주소를 찾을 때 남는 조회 기록)에 이름이 남는다고 설명했다. Claroc은 앱 이름을 찾아 첫 화면을 한 번씩 열어 봤다.

로그인 없이 열렸다고 모두 기밀은 아니다. 열린 앱 대부분은 게임, 소개 페이지, 계산기였다. Claroc은 약 10곳 중 1곳이 민감한 자료를 담았다고 추정했다.

Claroc은 설정값이 아니라 첫 화면이 열리는지만 확인했다.

열린 앱에는 직원 계획서와 환자 브리핑이 있었다

열린 앱 가운데 24개는 SpaceXSI(옛 xAI)와 X 직원이 만든 것으로, 온보딩 계획과 영업 구역 지도, 광고 제안서가 들어 있었다. 소속을 알 수 있는 다른 조직 30곳의 내부 자료도 열린 앱에 있었고, 이름은 공개되지 않았다.

Claroc이 확인한 예는 환자 1명의 중환자실 브리핑, 소방서 근무표, 코드에 비밀번호가 적힌 근무시간표 앱이다. Claroc에 따르면 Grok 운영사 SpaceXSI는 직원 앱 24개를 내렸지만 다른 이용자의 앱은 남아 있었다.

SpaceXSI는 게시 과정이 여러 단계라고 답했다

SpaceXSI는 이번 조사를 취재한 기자의 질문에 답했다. Grok 앱은 만든 사람이 공유하기 전까지 비공개이고, 게시하려면 버튼을 여러 번 눌러야 한다는 내용이라고 Claroc은 전했다. 직원 계정의 기본값은 본인만 열 수 있는 설정(Only you)이라고도 했다.

Claroc은 「게시 버튼을 누르기 전에는 아무것도 공개되지 않는다」고 인정했다. 그러면서 열린 앱의 주인도 같은 단계를 거쳤다고 반박했다.

Claroc의 유료 계정 1개에서는 게시 창에 Anyone with the link(링크가 있는 누구나)가 미리 선택돼 있었다. 다른 계정도 같은지는 확인되지 않았다. SpaceXSI의 공식 뉴스와 개발자 문서에는 11월 11일 현재 이번 보고서에 관한 공지가 없다.

앱 소유자를 위한 Claroc의 점검 권고

SpaceXSI 개발자 문서에는 게시한 앱의 접근 설정을 설명한 곳이 없다. 아래는 노출 점검을 유료로 제공하는 Claroc의 권고다.

내부 자료가 든 앱의 접근 설정은 Invited users(초대한 사람)나 Only you(본인만)여야 한다고 Claroc은 적었다. 소유자가 아닌 계정으로 열었을 때 오류 페이지가 나와야 한다는 것이다. 회사 밖 계정으로 로그인해 봤을 때 들어가진다면, 사용할 수 있는 사람의 명단을 따로 만들어야 한다고 적었다.

Claroc은 앱이 불러오는 스크립트 파일에 이름, 이메일, 비밀번호가 들어 있는지 찾아보라고 권했고, 주인이 없는 앱은 게시를 취소하라고도 했다. Claroc이 가짜 데이터로 만든 시험 앱 중 첫 번째는 Only you로 바꾸자 소유자가 아닌 사람에게 오류가 났다. 두 번째는 게시를 취소하자 주소가 몇 초 안에 내려갔다.

Claroc은 10월 메타 Muse 공유 대화에서도 공유 주소가 DNS 기록에 남는 같은 구조를 지적했다.