Perusahaan keamanan siber Claroc menemukan lebih dari 35 ribu aplikasi yang dibuat lewat Grok Build bisa dibuka siapa saja tanpa perlu masuk akun. Dalam laporan yang terbit 10 November 2026, Claroc menyebut sebagian aplikasi itu menyimpan data internal perusahaan dan data pribadi.
94,7 Persen Aplikasi Grok Build yang Aktif Terbuka
Grok Build adalah layanan untuk membuat aplikasi dengan bantuan AI Grok. Menurut laporan Claroc, peneliti menguji 43.551 alamat aplikasi Grok. Sebanyak 37.571 di antaranya masih aktif, dan 35.578 atau 94,7 persen bisa dibuka tanpa login. Sekitar satu dari sepuluh aplikasi yang terbuka berisi data internal atau pribadi yang sensitif, dan Claroc memperkirakan 650 sampai 800 aplikasi memuat data pribadi.
Di antara aplikasi itu terdapat 24 aplikasi buatan staf SpaceXSI dan X, termasuk peta wilayah penjualan yang mencakup 594 akun. Claroc juga mengidentifikasi 30 organisasi lain; 26 di antaranya memiliki lebih dari 1.000 karyawan dan 6 masuk daftar Fortune 500. Satu aplikasi pencatat jam kerja bahkan memperlihatkan kata sandi 18 akun dalam bentuk teks biasa.
Menurut IBTimes UK, data yang terpapar juga mencakup 3.784 catatan pemeriksaan kesehatan pekerja di sebuah perusahaan konstruksi di Peru.
Data lain yang ikut terpapar, menurut IBTimes UK, antara lain daftar 108 staf sebuah kontraktor teknik kapal dan kartu penilaian pusat servis Tesla yang memuat 22 teknisi. Temuan ini menunjukkan sisi lain tren membuat aplikasi dengan AI: siapa pun bisa membuat aplikasi dalam hitungan menit, tetapi tidak semua pembuatnya memahami pengaturan keamanan.
Tautan Acak Ternyata Bisa Ditemukan
Masalahnya ada pada cara tautan dibuat. Setiap aplikasi diberi alamat berupa empat kata acak yang ditaruh sebagai subdomain di grok.me. Subdomain ini tercatat di layanan pencatat DNS, semacam buku telepon internet, sehingga alamat yang tampak rahasia bisa ditemukan orang lain. Claroc menamai masalah ini GhostShares.
Opsi berbagi “siapa saja yang memiliki tautan” juga sudah terpilih secara bawaan. “Pembuat aplikasi AI menjadikan proses menerbitkan aplikasi cukup beberapa klik, dan jawaban bawaan untuk siapa yang bisa melihatnya adalah semua orang,” kata Asaf Aprozper, salah satu pendiri sekaligus CTO Claroc. Claroc menyarankan pengaturan bawaan diubah menjadi hanya pembuatnya sendiri.
Aplikasi Staf Sudah Ditutup, Milik Pengguna Lain Belum
Claroc melaporkan temuan ini ke SpaceXSI pada 8 November, lalu menambahkan 22 aplikasi pada 9 November. Pada 10 November, SpaceXSI menutup 24 aplikasi milik stafnya, tetapi aplikasi milik pengguna lain tidak ikut ditutup. Menurut Claroc, pihak penyedia berpendapat aplikasi Grok bersifat privat sampai pembuatnya memilih membagikannya, dan akun karyawan diatur hanya bisa dilihat pemiliknya secara bawaan.
Kasus ini jadi pengingat bagi siapa saja di Indonesia yang mulai membuat aplikasi atau situs dengan bantuan AI, termasuk untuk keperluan kantor atau usaha kecil. Tautan yang terlihat acak belum tentu rahasia. Periksa ulang pengaturan berbagi sebelum mengisi aplikasi dengan data pelanggan, data karyawan, atau kata sandi, dan pilih akses terbatas bila tersedia. Masalah serupa pernah terjadi ketika fitur Claude Code membocorkan ribuan kata sandi dan kunci di GitHub.
