要点
- AI コーディングツール Grok Build で作って公開されたアプリのうち、35,578件が、ログインなしで誰でも開ける状態だったと、セキュリティ会社 Claroc が報告した。
- 中には SpaceXSI と X の社員向け資料のほか、患者の医療情報、従業員名簿、平文のパスワードを含むアプリがあったとされる。
- 公開の初期設定が「リンクを知っていれば誰でも」で、しかもリンクが DNS の記録から探せる作りだったことが原因だと、Claroc は指摘している。
何が起きたか
Claroc の研究者は2026年11月10日、Grok Build で作られたアプリの調査結果を公開した。Grok Build は xAI（現在は SpaceXSI の傘下とされる）の AI コーディングエージェントで、作ったアプリを grok.me 配下に公開できる。
Claroc の報告によると、調べたアプリの名前は43,601件。そのうち、いまも動いていたのが37,571件。サインインなしで開けたのは35,578件で、動いているアプリの94.7%にあたる。残る1,993件は認証を求めていた。
Claroc は、見えた内容を中身ごとに分けて説明している。
- 社内資料: SpaceXSI と X の社員が作ったアプリに、新人の研修計画、594社分の営業担当地域の表、広告提案書があった。提案書には、米国の連邦機関向けで機密扱いのものも含まれていたという。
- 名簿: 病院グループの職員イベント用アプリで、3,500人を超える従業員を検索できた。ほかに、運送会社などの従業員・運転手の名簿（名前、社員番号、個人のメールアドレスなど）もあった。
- 医療情報: 患者1人分の集中治療の資料が見えた。検査結果、画像、人工呼吸器の状態が載っていた。Claroc は、この資料の持ち主が病院だとは書いていない。
- パスワード: ある請負業者の勤務時間アプリでは、管理者を含む18アカウントのパスワードが平文のまま、ブラウザが画面を開くたびに取得するスクリプトの中にあった。
Claroc の見積もりでは、公開アプリ全体のおよそ1割に、機密・社内・個人のいずれかのデータがあった。全体の約2%は、深刻度が「高」か「最重要」にあたるという。「private data（非公開のデータ）」を持つアプリは、全体でおよそ650〜800件と推定している。方法は、AI モデルが私的に見えるページを選び、Claroc が人の目で確かめ、無作為に選んだ標本でモデルの精度も検証したというもの。数字は Claroc 自身の推計だ。
見つかった経路は DNS にある。公開アプリには 名前.grok.me という専用のアドレスが付く。アドレスを開くたびに、パソコンは DNS（名前から場所を引く仕組み）へ問い合わせを送る。その問い合わせの記録を集めて保存する事業者が存在し、記録を検索すれば grok.me の名前が一覧で手に入る。名前が長くても、秘密のリンクとしては働かない。Claroc は、推測する必要すらなかったと書いている。
公開範囲の初期値については、双方の言い分が分かれている。Claroc は、自社の有料アカウントでは公開の画面が最初から「リンクを知っていれば誰でも」だったという。SpaceXSI は、アプリは作った人が共有を選ぶまで非公開で、公開には複数の手順と法的な注意書きへの同意が要ると説明した。社員のアカウントは初期値が「自分だけ」だとも述べた。Claroc は、公開ボタンを押すまで外に出ない点は認めつつ、公開後の初期値が誰でも見られる側だと主張している。
経過はこうだ。Claroc は11月8日、SpaceXSI の security.txt に載る連絡先へ報告した。10日の時点で、SpaceXSI は記者の質問には答えたが、Claroc の報告への返信はなかったという。その後、SpaceXSI は社員が作った24件を取り下げた。Claroc によると、ほかの Grok 利用者や組織のアプリは取り下げていない。なお、この報告の内容は Claroc の主張で、私たちが独自に確かめたものではない。
日本の利用者への影響
日本の組織や利用者への影響は、報告からは分からない。Claroc が把握した組織は30で、うち18が米国と書かれている。Grok Build を日本の企業が業務に使っているかも未確認だ。ただ、grok.me で公開した社内アプリがあれば、国を問わず同じ状況になりうる。
今すぐやること
- 社内で、Grok Build など AI でアプリを作れるツールを誰が使っているかを調べる。
- それらのツールで公開したアプリを洗い出し、共有の設定を見る。社内向けのデータがあるなら「招待した人だけ」か「自分だけ」にする。
- 公開リンクを、ふだんのログインを切った別のブラウザ（シークレットウィンドウなど）で開き、中身が見えないか確かめる。
- 名簿・顧客情報・パスワードを入れたアプリは、いったん取り下げる。パスワードがアプリの中に書かれていたなら、すべて変更する。
- 今後は、AI で作ったアプリを公開する前に、「誰が見られるか」を画面で確かめ、データを持つアプリには必ずサインインを付けるルールにする。
Claroc も、組織に同じ種類の点検を勧めている。DNS の記録を検索できる環境があるなら、AI アプリ作成ツールのドメインを調べ、見つかったものを上の3のように確かめるという内容だ。
背景
AI アプリ作成ツールは、社員が情報システム部門の審査なしに、社内ツールを短時間で公開できる。便利だが、公開範囲の確認が抜けやすい。
Grok は2025年8月にも、grok.com/share/ 形式の共有会話が Google に索引された問題があった。Claroc は、その数が37万件超だったと書いている。また Grok Build は2026年7月にも、コードの保管庫を丸ごと送っていたと研究者に指摘されたことがあり、これは別の問題だ。
今回の仕組みは、他社のチャット共有リンクと違う、と Claroc は説明する。他社のリンクは、秘密にしたい部分が URL の途中（パス）にあり、DNS の記録には残らない。grok.me ではアプリごとの名前そのものが住所なので、DNS の記録がそのまま見つかる手がかりになった。
技術者向けの詳細
- 報告: Claroc「GhostShares 2」（2026-11-10）。調査対象 43,601 名（subdomain 探索）／43,551 アドレスを検査。
- 稼働 37,571／認証なし 35,578（94.7%）／HTTP 401 が 1,993。
- SpaceXSI・X の社員アプリ 24 件、その他の組織 30（従業員 1,000 人超が 26、Fortune 500 が 6）。
- 発見経路: 公開アプリごとの
<name>.grok.meが passive DNS に記録される。生成名は4語のランダム語（約半数）。 - Claroc の検証用アプリ（1）: データベース付き・ログインなしの連絡先アプリ。シークレットウィンドウから、サインインなしで1行を追加でき、次の訪問者にも表示された。
- Claroc の検証用アプリ（2）: Google ログイン付きの顧客一覧。持ち主ではなく招待もされていない Google アカウントでサインインすると、全顧客の閲覧、1件の変更、別の1件の削除ができた。原因は、サインインした人をチームへ加えてから所属を確認する実装（確認が常に通る）だという。
- 「Only you」にすると 401 になる。設定は存在するが初期値ではない。
- Claroc の改善提案: 共有アプリを単一ホストの推測困難なパス配下で配信、組織ドメイン限定の共有、初期値を「Only you」に、DB があって認証がないアプリへの警告。
- Claroc は、ホスト名・アプリ名・リンクを公開していない。
