نشرت Claroc Research في 10 نوفمبر 2026 تقريرها GhostShares 2، وفيه أن 35,578 تطبيقاً من أصل 37,571 تطبيقاً حياً بني بأداة Grok Build على النطاق grok.me تفتح لأي زائر دون تسجيل دخول. وتقدر الشركة أن نحو واحد من كل عشرة من هذه التطبيقات يحمل بيانات داخلية أو شخصية.
وبحسب التقرير، يحصل كل تطبيق منشور على نطاق فرعي تحت grok.me، ويصل هذا النطاق إلى سجلات Passive DNS، وهي قواعد بيانات تحفظ طلبات تحويل أسماء النطاقات إلى عناوين، فيستطيع من يملك حساباً فيها البحث عن الأسماء بالنمط. ويقول الباحثون إن نحو نصف الأسماء التي وجدوها تتبع نمط أربع كلمات عشوائية يقترحها Grok، وإن ذلك لا يحمي تطبيقاً ظهر اسمه في السجلات.
وتذكر Claroc أن خيار الوصول “Anyone with the link” كان محدداً مسبقاً عند النشر في الحساب المدفوع الذي استخدمه الباحثون. أما صفحة إعلان xAI في 19 أغسطس 2026، حين أتيح منشئ التطبيقات في الدردشة لكل خطط Grok، فتعرض ثلاثة خيارات للوصول: لصاحب التطبيق وحده، أو لمن لديه الرابط، أو للإنترنت كله، ولا تذكر أيها الافتراضي.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
وبين التطبيقات المفتوحة 24 تطبيقاً بناها موظفون في X وSpaceXSI، منها خطة تأهيل سرية وخريطة مبيعات من 594 حساباً وثمانية مقترحات إعلانية على X، أحدها لجهة اتحادية أمريكية ومصنف سرياً. ووجدت Claroc بيانات داخلية من 30 جهة أخرى، 26 منها يتجاوز موظفوها ألفاً وست منها ضمن قائمة Fortune 500، في قطاعات البناء والطاقة والتقنية والرعاية الصحية والنقل والدفاع.
وتذكر من الأمثلة قائمة بأكثر من 3,500 موظف في مجموعة مستشفيات، وإيجازاً لمريض في العناية المركزة يتضمن نتائج التحاليل وحالة جهاز التنفس، وتطبيقاً لساعات العمل يعرض كلمات مرور 18 حساباً نصاً صريحاً. وتقدر الشركة أن نحو 2% من التطبيقات المفتوحة تحمل مواد عالية أو حرجة الخطورة.
واختبر الباحثون تطبيقين أنشأوهما ببيانات وهمية. في الأول، قائمة جهات اتصال بقاعدة بيانات وبلا تسجيل دخول، أضاف زائر من نافذة خاصة سجلاً ظهر للزائر التالي. وفي الثاني، قائمة عملاء أضاف إليها Grok تسجيل الدخول عبر Google وX، أتاح خلل في فحص العضوية لحساب Google غير مدعو قراءة السجلات وتعديلها وحذفها، لأن الشيفرة المولدة تضيف المستخدم إلى الفريق قبل التحقق من عضويته. وتقول Claroc إنها لم تسجل الدخول إلى تطبيقات الآخرين ولم ترسل إليها بيانات.
وأبلغت Claroc شركة SpaceXSI عبر عنوان security.txt في 8 نوفمبر، ثم أبلغت عن 22 تطبيقاً آخر لموظفي الشركة وX في اليوم التالي. وتقول Claroc إن الشركة لم ترد على البلاغ قبل النشر، وإنها أزالت التطبيقات الـ24 ولم تزل تطبيقات المستخدمين الآخرين. وتقول SpaceXSI، بحسب التقرير، إن تطبيقات Grok تبقى خاصة حتى يشاركها صاحبها، وإن النشر يمر بعدة خطوات تشمل إقراراً قانونياً، وإن حسابات الموظفين تعتمد “Only you” افتراضياً.
وترد Claroc بأن المشكلة في خطوة الوصول التي كان الخيار المحدد مسبقاً فيها “Anyone with the link”، وبأن الإعداد الافتراضي الخاص لحسابات الموظفين لم يمنع انكشاف تطبيقاتهم الـ24. وطلبت من SpaceXSI جعل “Only you” الخيار الافتراضي، وإضافة خيار يحصر الوصول بنطاق بريد المؤسسة، وتقديم الروابط على مسارات يصعب تخمينها بدل نطاقات فرعية، وتحذير المستخدم عند نشر تطبيق له قاعدة بيانات بلا تسجيل دخول.
وبدأت Claroc مراسلة المؤسسات المتأثرة مباشرة، وأخفت عناوين التطبيقات وأسماءها. وتنصح المؤسسات بتحديد أدوات بناء التطبيقات التي يستخدمها موظفوها، وضبط التطبيقات الداخلية على “Invited users” أو “Only you”، واختبار تسجيل الدخول بحساب من خارج المؤسسة.
