Güvenlik şirketi Claroc, 10 Kasım 2026 tarihli «GhostShares 2» araştırmasında Grok ile üretilip grok.me altında yayımlanan 43.551 adresi denedi. Test edilen adreslerden 37.571'i çevrim içi çıktı ve 35.578 uygulamanın (yüzde 94,7) oturum açmadan herkese açık kaldığı belirlendi. Yalnız 1.993 uygulama (yüzde 5,3) «Yalnız sen» veya «Davetli kullanıcılar» ayarı nedeniyle HTTP 401 yanıtı döndürdü.
SpaceX ile xAI birleşmesiyle oluşan SpaceXSI'nin sohbet penceresinde yazarak ya da konuşarak uygulama üreten yapay zekâ kodlama aracı Grok Build üzerinde hazırlanan açık uygulamaların 24'ü SpaceXSI ve X çalışanlarına aitti. Claroc ve Ars Technica aktarımına göre SpaceXSI, Ars Technica'nın sorularından sonra bu uygulamaları yayından kaldırdı; diğer kullanıcıların uygulamalarına aynı işlemi yapmadı.
Nasıl bulundu
Ars Technica ve Unite.AI bilgilerine göre yayımlanan her Grok uygulaması, rastgele kelimelerden oluşan ve grok.me ile biten kendi alt alan adını alıyor. Rastgelelik alan adı kısmında yer aldığı için DNS sorguları herkese açık pasif DNS veritabanlarına düşüyor ve uygulama adresleri buradan toplanabiliyor.
Ars Technica; Google Docs belgeleri, Claude yayımlanmış içerikleri, ChatGPT paylaşılan sohbetleri ve Gemini paylaşımlarında gizli rastgele bölümün adres yolunda yer aldığını ve DNS tarafından görülmediğini aktardı. Claroc ise Lovable, Bolt ve Replit araçlarının da her uygulamaya ayrı alan adı verdiğini ve aynı DNS kayıtlarının bunları da gösterebildiğini, ancak en hassas şirket verilerini Grok üzerinde bulduklarını belirtti.
Claroc ve Unite.AI verilerine göre araştırmacıların ücretli hesabında «Yayımla» düğmesine basıldığında «Bağlantıya sahip herkes» seçeneği önceden seçili geliyordu; diğer seçenekler «Davetli kullanıcılar» ve «Yalnız sen» olarak sıralanıyordu. Claroc'un yalnız kendi ekip uygulamasında yaptığı testte «Google ile devam et» seçeneği, herhangi bir Google hesabına kayıtları okuma, düzenleme ve silme izni verdi. Araştırmacılar diğer uygulamalarda oturum açmadan yalnız ilk sayfayı bir kez yükleyip kopyaları çevrim dışı inceledi.
SpaceXSI uygulamaları
Claroc ve Unite.AI bulgularına göre açık kalan 24 SpaceXSI ve X çalışan uygulamasında şu veriler yer aldı:
- Kurumsal satış ekibine yeni katılan biri için gizli işaretli işe alışma planı (iç sistem adresleri, satış araçları ve 19 iç sohbet kanalı)
- 594 stratejik müşteri hesabı ve satış süreçlerini gösteren bölge haritası
- ABD'li bir federal kuruma gönderilmiş gizli işaretli teklif dahil sekiz X reklam teklifi ve medya planı
- Biri 1,6 milyon dolarlık satış hedefini izleyen dört canlı reklamveren panosu ile Brezilya, Japonya, Kore ve Tayland'daki reklamveren kampanya raporları
Ars Technica'ya göre Claroc bulguları 8 Kasım Pazar günü SpaceXSI'ye bildirdi. Uygulamalar 9 Kasım akşamı hâlâ açık durumdaydı; SpaceXSI, Ars Technica'nın sorularından birkaç saat sonra bağlantıları kaldırmaya başladı ve haber yayımlandığında 24 uygulamanın tamamı «uygulama bulunamadı» mesajı veriyordu.
Diğer kullanıcı verileri
Claroc ve Unite.AI raporuna göre incelenen uygulamaların çoğu oyun, tanıtım sayfası ve hesap makinesi olsa da yaklaşık her 10 uygulamadan biri hassas iş veya kişisel veri, yüzde 2'si ise yüksek ya da kritik hassas içerik taşıyordu. SpaceXSI ve X dışında iç verisi açıkta kalan 30 kuruluş saptandı; bunların 26'sı 1.000'den fazla çalışana sahipken altısı Fortune 500 listesinde bulunuyordu.
Ars Technica ve Claroc'un paylaştığı örnekler arasında Perulu bir inşaat şirketinin 3.784 işçiye ait tıbbi muayene sonuçlarını gösteren iş sağlığı paneli, Tesla servis merkezinde 22 teknisyenin verimlilik ve prim puan tablosu ile bir hastane grubunun 3.500'den fazla çalışanının adı ve kimlik numarası yer aldı. Ayrıca tek bir yoğun bakım hastasının tahlil ve görüntüleme bilgileri, bir itfaiye vardiya panosu ve bir yüklenicinin tüm çalışan parolalarını düz metin tutan puantaj uygulaması da açıkta bulundu.
Şirket ne diyor
Yakın zamanda SpaceXSI tarafından satın alınan Cursor'ın sözcüsü, Ars Technica'ya e-postayla yaptığı açıklamada Grok Build uygulamalarının varsayılan olarak özel geldiğini, oluşturan kişi paylaşmayı seçmedikçe hiçbir şeyin herkese açılmadığını ve ChatGPT, Lovable ile Bolt gibi rakiplerin de paylaşılabilir bağlantı sunduğunu belirtti. Unite.AI'ye göre SpaceXSI ise yayımlama işleminin birkaç adım gerektirdiğini ve çalışan hesaplarının varsayılan «Yalnız sen» ayarıyla geldiğini bildirdi.
Claroc kurucu ortağı ve teknoloji direktörü Asaf Aprozper ise Ars Technica'ya, yaptıkları testlerde Grok Build aracının paylaşım bağlantısı ayarını varsayılan olarak «Bağlantıya sahip herkes» seçeneğine getirdiğini ve etkilenen şirketleri bilgilendirme sürecinde olduklarını söyledi. Bilgilendirilen lüks bir kruvaziyer şirketi, bulgular paylaşılır paylaşılmaz güvenlik ekibini devreye aldı.
Türkiye açısından
Yapay zekâ uygulama araçlarında seçilen paylaşım ayarı, kurum içi belgeleri ve kişisel verileri bağlantıya sahip herkese açabiliyor. Claroc ve Ars Technica, aynı alt alan adı yapısının başka uygulama oluşturucularda da bulunduğunu belirtiyor. Ars Technica, Grok Build kullanıcılarına uygulamalarını geniş kitleye açmak istemedikçe davetli kullanıcılar seçeneğini tercih etmelerini öneriyor.
Kaynaklar
Kapak görseli: «SpaceX Headquarters, Hawthorne, CA», SpaceX, Wikimedia Commons, CC0 (kırpıldı, 1200x675).
