Celah Berbagi Tautan Grok Build Bocorkan Data Rahasia Perusahaan
Riset Claroc mengungkap lebih dari 35.000 aplikasi Grok Build terbuka untuk umum akibat kekeliruan desain tautan, termasuk data internal SpaceXSI.
Foto: Ars Technica (Dokumentasi editorial)
Poin penting
- Claroc menemukan lebih dari 35.000 aplikasi Grok Build dapat diakses bebas akibat pencatatan DNS publik.
- Data bocor mencakup rencana bisnis, proposal iklan, data medis, hingga 24 aplikasi milik SpaceXSI sendiri.
- Pengguna disarankan mengubah setelan akses aplikasi menjadi khusus pengguna terundang atau privat.
Penggunaan agen AI pembuat kode kini menghadapi sorotan tajam terkait keamanan data bisnis. Firma keamanan siber Claroc melaporkan bahwa fitur berbagi tautan pada Grok Build, platform coding buatan SpaceXSI, membocorkan informasi sensitif dari puluhan ribu penggunanya.
SpaceXSI merupakan entitas gabungan antara SpaceX dan xAI milik Elon Musk. Menurut laporan Claroc yang dilansir oleh Ars Technica, lebih dari 35.000 dari total 43.601 tautan grok.me dapat diakses siapa pun tanpa proses verifikasi.
Kelemahan Desain Subdomain dan Pencatatan DNS
Grok Build memakai kontrol akses berbasis kemampuan, yakni mekanisme keamanan di mana siapa pun yang memegang alamat tautan unik dianggap memiliki izin masuk. Sistem ini membuat kombinasi kata acak pada alamat web untuk mencegah tebakan pihak luar.
Namun, kegagalan fatal muncul karena SpaceXSI meletakkan kata acak tersebut di bagian subdomain atau sebelah kiri domain utama. Akibatnya, sistem passive DNS—basis data publik yang mencatat setiap permintaan pencarian alamat server—merekam tautan itu secara otomatis dan terbuka bagi pemantau web.
Perusahaan pembuat Grok membiarkan materi internalnya terbuka bagi siapa saja yang memegang tautan. Jika tim penjualan membeli alat biasa, data itu pasti terlindungi login perusahaan. Karena dibangun dengan AI, sistem justru tayang terbuka.
Pola ini berbeda dari layanan seperti Google Docs, ChatGPT, Claude, atau Gemini. Platform-platform tersebut meletakkan deretan karakter acak di bagian jalur folder atau sebelah kanan domain, sehingga transaksi tautan tidak pernah tercatat di peladen DNS publik.
Data Internal SpaceXSI dan Korporasi Ikut Terpapar
Data yang terpapar mencakup rencana bisnis internal, proposal periklanan, data rekam medis, daftar tugas kapal pesiar mewah, hingga nomor identitas karyawan Fortune 500 dan kontraktor pertahanan. Ironisnya, Claroc menemukan 24 aplikasi milik internal SpaceXSI turut bocor ke publik.
Dokumen internal SpaceXSI yang terbuka meliputi rencana orientasi karyawan penjualan berstatus rahasia, peta wilayah 594 akun korporat, dan alamat sistem internal. Seluruh tautan milik SpaceXSI kini dinonaktifkan setelah Ars Technica mengirimkan pertanyaan konfirmasi.
Co-founder dan CTO Claroc, Asaf Aprozper, menjelaskan bahwa uji coba menunjukkan Grok Build secara bawaan mengatur tautan ke opsi terbuka untuk semua pemegang tautan. Kerentanan serupa dari pencatatan DNS juga membayangi platform pembangun aplikasi lain seperti Lovable, Bolt, dan Replit.
Apa Artinya bagi Pelaku Usaha
Insiden ini menjadi peringatan keras bagi para direktur teknologi, manajer operasional, dan pemilik bisnis yang mulai mengizinkan karyawan bereksperimen dengan agen AI. Praktik pembuatan prototipe cepat sering kali mengabaikan protokol keamanan standar, sehingga memicu fenomena shadow IT—penggunaan perangkat lunak tanpa persetujuan tim TI resmi.
Langkah mitigasi mendesak bagi pelaku usaha adalah segera mengaudit seluruh aplikasi eksperimental yang dibuat staf menggunakan Grok Build, Lovable, Bolt, maupun Replit. Pastikan setelan berbagi tautan diubah dari publik menjadi hanya untuk pengguna terundang atau mode privat.
Perusahaan di Indonesia perlu menetapkan panduan tata kelola AI yang ketat. Larang karyawan memasukkan data rahasia seperti daftar klien, strategi pemasaran, atau data rekam medis ke platform prototipe pihak ketiga sebelum sistem terintegrasi ke dalam autentikasi internal korporasi.
✓ Lolos pemeriksaan redaksi AI. (Klik untuk lihat hasil pemeriksaan fakta)
Artikel ini ditulis AI, 12 klaimnya dicocokkan dengan sumber, dan diuji keterbacaannya sebelum terbit. Menemukan kekeliruan? Laporkan ke redaksi.
- Ars Technica: Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI
| Klaim | Putusan | Dasar di sumber |
|---|---|---|
| Fitur berbagi tautan Grok Build membocorkan informasi sensitif dari ribuan penggunanya. | Didukung | “Grok Build, the vibe-coding agent from SpaceXSI, is leaking data—some of it proprietary business information and other sensitive secrets—from thousands of its users” Ars Technica melaporkan kebocoran data pengguna akibat fitur tautan Grok Build. |
| SpaceXSI merupakan perusahaan hasil merger antara SpaceX dan xAI milik Elon Musk. | Didukung | “SpaceXSI (the name of the now-merged SpaceX and xAI) itself” Ars Technica menyebut SpaceXSI adalah entitas gabungan SpaceX dan xAI. |
| Riset Claroc menemukan lebih dari 35.000 dari 43.601 tautan grok.me terbuka bebas untuk publik. | Didukung | “Aprozper said a passive DNS search returned 43,601 links ending in grok.me. Of them, more than 35,000, or nearly 95 percent, were public” Ars Technica memuat data temuan passive DNS dari CTO Claroc. |
| Grok Build menggunakan mekanisme capability-based access control di mana kepemilikan tautan menjadi izin akses. | Didukung | “The idea—sometimes called capability-based access control —is that possession of the URL serves as authorization to the resources behind it.” Ars Technica mengonfirmasi mekanisme otorisasi berbasis URL pada Grok Build. |
| Grok Build menaruh kata acak di sebelah kiri domain (subdomain) sehingga dapat diinventarisasi oleh layanan passive DNS. | Didukung | “Instead of being to the right of the domain—as is the case with Google links—the randomness for Grok Build links is positioned to the left of it.” Ars Technica menjelaskan penyebab tautan bisa terekam di basis data DNS. |
| Layanan Claude, ChatGPT, dan Gemini menaruh parameter acak pada path (sebelah kanan domain) sehingga tidak terekam DNS. | Didukung | “For all three, the secret randomness is in the path, so DNS never sees it.” Ars Technica membandingkan implementasi Grok dengan Claude, ChatGPT, dan Gemini. |
| Data yang terpapar mencakup rencana bisnis, proposal iklan, hasil tes medis, daftar tugas kapal pesiar, dan identitas karyawan Fortune 500 serta kontraktor pertahanan. | Didukung | “internal business plans, ad proposals, medical exam results, galley checklists from a celebrity cruise line, and employee names and ID numbers.” Ars Technica merinci jenis dokumen sensitif yang ditemukan Claroc. |
| Claroc menemukan 24 aplikasi milik internal SpaceXSI ikut bocor ke publik. | Didukung | “A small sampling of the documents revealed in the SpaceXSI apps—Claroc found 24 of them” Ars Technica menyebutkan Claroc mendeteksi 24 aplikasi internal milik SpaceXSI. |
| Dokumen internal SpaceXSI yang bocor berisi rencana onboarding rahasia tim sales, peta 594 akun penjualan, dan alamat sistem internal. | Didukung | “include an onboarding plan, marked confidential, for a new member of SpaceXSI’s enterprise sales team, a sales territory map of 594 accounts, internal system addresses for sales team tools” Ars Technica mendata dokumen spesifik internal SpaceXSI yang terekspos. |
| SpaceXSI menonaktifkan tautan 24 aplikasinya beberapa jam setelah Ars Technica mengirimkan surat pertanyaan. | Didukung | “SpaceXSI began removing the links within a few hours of Ars sending an email with questions for this article. At the time this post went live, links for all 24 apps returned an “app not found” error.” Ars Technica memastikan tautan SpaceXSI dinonaktifkan pascakonfirmasi. |
| CTO Claroc menyatakan pengujian menunjukkan Grok Build mengatur setelan bawaan tautan ke 'Anyone with the link'. | Didukung | “He said that tests he conducted over the past week showed that, by default, Grok sets links to “Anyone with the link.”” Ars Technica mengutip hasil uji coba Asaf Aprozper. |
| Platform Lovable, Bolt, dan Replit memiliki potensi risiko serupa akibat penggunaan subdomain unik per aplikasi. | Didukung | “Aprozper said that app builders, including Lovable, Bolt, and Replit, “also give each app its own web address, so the same DNS records expose them, too.” Ars Technica mengutip keterangan Aprozper terkait platform builder AI lainnya. |
Video AI terbaru
How to request and enable Daybreak Blue
