Grok Build expone datos sensibles de miles de usuarios, incluida la propia SpaceXSI

Una investigación de la firma de seguridad Claroc reveló que Grok Build, el agente de programación por voz de SpaceXSI —la empresa resultante de la fusión entre SpaceX y xAI—, está filtrando información confidencial de miles de usuarios. Entre los datos expuestos hay planes de negocios internos, propuestas publicitarias, resultados de exámenes médicos, listas de verificación de una línea de cruceros de celebridades, y nombres y números de identificación de empleados. La filtración alcanza incluso a la propia SpaceXSI, que tiene dos docenas de aplicaciones construidas con su propia herramienta.

La falla: URLs aleatorias que cualquiera puede descubrir

Grok Build permite a los usuarios compartir sus apps mediante enlaces. La plataforma genera direcciones URL aleatorias para que solo quienes conocen el enlace exacto puedan acceder. Sin embargo, Claroc descubrió que una decisión de diseño anula esa protección: cualquiera puede enumerar miles de proyectos activos de Grok Build simplemente recorriendo esas direcciones. En la práctica, al abrir el enlace se despliega la aplicación y se revelan todos los datos asociados. Solo en casos excepcionales el contenido no se muestra.

El investigador que lideró el estudio comentó que la vulnerabilidad es particularmente grave porque no requiere conocimientos técnicos avanzados para explotarla. Cualquier persona con acceso a internet puede, en minutos, listar cientos de aplicaciones y leer su información interna.

Qué datos quedaron al descubierto

Claroc identificó 24 aplicaciones creadas por la propia SpaceXSI que exponen documentos sensibles. Entre ellos hay un plan de incorporación —marcado como confidencial— para un nuevo miembro del equipo de ventas empresariales de SpaceXSI, un mapa de territorio de ventas con 594 cuentas, direcciones internas de sistemas para herramientas del equipo de ventas y propuestas publicitarias. Otros usuarios filtraron datos como planes de negocio internos, propuestas de anuncios, resultados de exámenes médicos, listas de verificación de una línea de cruceros reconocida, y nombres y números de identificación de empleados.

La investigación no especifica cuántos usuarios chilenos podrían verse afectados, pero dado que Grok Build es una plataforma global, es probable que haya desarrolladores locales entre los expuestos. Por ahora no hay confirmación de que datos de chilenos estén en la filtración, pero la lección es clara: confiar ciegamente en la seguridad de herramientas de IA sin revisar su diseño puede costar caro.

Qué implica para Chile y cómo protegerse

Para un desarrollador chileno que use Grok Build, el riesgo es real: si compartió un enlace de su app, cualquiera podría haber accedido a los datos de su proyecto. La recomendación práctica es no almacenar información sensible en aplicaciones construidas con esta herramienta hasta que SpaceXSI confirme que corrigió la falla. También conviene revisar si los enlaces compartidos anteriormente siguen activos y, de ser así, eliminarlos o cambiar los datos.

Claroc no ha informado si la vulnerabilidad ya fue parchada ni si SpaceXSI ha tomado medidas. Mientras tanto, el caso sirve como advertencia: la comodidad de generar apps con IA no debe reemplazar una revisión básica de seguridad. En Chile, donde el uso de herramientas de inteligencia artificial crece rápido, este tipo de incidentes recuerda que la privacidad de los datos depende tanto de la plataforma como de las decisiones de cada usuario.

Con información de Ars Technica