Grok Build és el mode de l'assistent de SpaceXSI (l'antiga xAI) que permet crear una aplicació només descrivint-la en una conversa: Grok n'escriu el codi i, en publicar-la, li dona una adreça pròpia a grok.me. És una de les eines amb què la gent sense coneixements de programació fa aplicacions per a la feina, i és aquí on hi ha el risc: qui la fa no sempre sap qui hi podrà entrar.
L'empresa de ciberseguretat Claroc va localitzar més de 43.000 adreces d'aplicacions de Grok, de les quals 37.571 encara funcionaven. D'aquestes, 35.578 (el 94,7%) s'obrien sense demanar cap inici de sessió. La majoria eren jocs, calculadores o pàgines de presentació, però Claroc calcula que entre 650 i 800 contenien dades privades. Entre els casos confirmats hi ha un informe d'una unitat de cures intensives amb les analítiques d'un pacient, la llista de més de 3.500 treballadors d'un grup hospitalari, els torns d'un cos de bombers i una aplicació amb 18 comptes i les contrasenyes sense xifrar. També hi havia 24 aplicacions obertes de treballadors de SpaceXSI i de X, amb un mapa comercial de 594 clients estratègics i propostes publicitàries confidencials.
Segons Claroc, el problema és de disseny: en el compte de pagament que va fer servir, l'opció «Qualsevol persona amb l'enllaç» venia marcada per defecte en el moment de publicar, i les adreces es podien trobar en bases de dades públiques de noms de domini. A més, en una aplicació de prova, el codi que va escriure Grok deixava que qualsevol compte de Google llegís, modifiqués i esborrés registres. SpaceXSI respon que les aplicacions són privades fins que el creador les comparteix i ha retirat les dels seus treballadors, però no les de la resta d'usuaris.
Cal tenir en compte que Claroc ven productes de seguretat per a aplicacions fetes amb IA, i que la xifra de 650 a 800 aplicacions amb dades privades és una estimació. L'empresa no ha fet públics els noms de les 30 organitzacions afectades, sis de les quals són de la llista Fortune 500, i diu que les està avisant directament.