Highlights
  • Firma keamanan Claroc melaporkan temuan ini pada 10 November 2026.
  • Dari 43.551 aplikasi yang dimuat, 35.578 terbuka tanpa login.
  • Angka itu setara 94,7% dari aplikasi yang merespons; hanya 1.993 meminta autentikasi.
  • Claroc memperkirakan 650 sampai 800 aplikasi berisi data bisnis atau pribadi.
  • Penyebabnya: setiap aplikasi punya hostname sendiri di grok.me yang bisa ditemukan lewat passive DNS.

Membuat aplikasi hanya dengan mengetik perintah ke AI ternyata menyimpan risiko besar. Puluhan ribu aplikasi buatan Grok Build ditemukan bisa dibuka siapa saja tanpa perlu masuk akun, sebagian berisi data sensitif.

Grok Build adalah layanan pembuat aplikasi berbasis AI milik SpaceXSI, perusahaan induk Grok. Pengguna cukup menjelaskan aplikasi yang diinginkan, lalu AI menyusun dan menerbitkannya. Masalahnya, aplikasi yang diterbitkan itu ternyata jauh lebih terbuka daripada yang disadari pembuatnya.

Informasi di artikel ini dihimpun dari laporan The Hacker News, Cybernews, The Decoder, dan Unite.AI yang mengutip temuan firma keamanan Claroc.

Jawaban cepat: Claroc menemukan 35.578 aplikasi buatan Grok Build bisa dibuka tanpa login, atau 94,7% dari aplikasi yang merespons. Setiap aplikasi diterbitkan di hostname sendiri di bawah grok.me yang seharusnya sulit ditebak, tetapi ternyata bisa ditemukan lewat data passive DNS. Sekitar 650-800 aplikasi diperkirakan memuat data bisnis atau pribadi, termasuk data medis dan kata sandi.

Apa yang Ditemukan Claroc?

Claroc memuat 43.551 aplikasi Grok Build yang berbeda. Hasilnya, 35.578 aplikasi terbuka tanpa perlu masuk akun, sementara hanya 1.993 yang mengembalikan pesan kesalahan autentikasi. Dengan kata lain, 94,7% aplikasi yang merespons bisa diakses publik.

Tidak semua aplikasi itu berisi data penting. Claroc memperkirakan 650 sampai 800 aplikasi memuat data bisnis atau pribadi yang bersifat rahasia. Media yang meliput memberi angka proporsi berbeda, mulai dari sekitar 2% dengan tingkat sensitivitas tinggi hingga sekitar satu dari sepuluh aplikasi.

Data yang dilaporkan terbuka antara lain rencana penjualan SpaceXSI sendiri, daftar karyawan, data medis pasien, dan kata sandi dalam teks biasa.

Baca Juga: Grok API Kini Pasang Watermark Tak Kasatmata, Ini Cara Kerjanya

Kenapa Aplikasi Grok Build Bisa Terbuka?

Grok Build menerbitkan setiap aplikasi ke hostname sendiri di bawah domain grok.me. Menurut Claroc, alamat aplikasi itu dirancang agar sulit ditebak, sehingga dianggap cukup aman walau tanpa login.

Masalahnya, hostname itu tercatat di data passive DNS, yaitu arsip riwayat pencarian nama domain yang dikumpulkan berbagai penyedia. Dari data itu, siapa pun bisa menemukan daftar alamat aplikasi lalu membukanya langsung.

The Decoder juga melaporkan bahwa dialog penerbitan di akun uji Claroc sudah memilih opsi "Anyone with the link" secara bawaan. Jadi banyak pembuat aplikasi kemungkinan tidak sadar aplikasinya terbuka untuk umum.

Angka-Angka Kunci Temuan

Ringkasan data dari laporan Claroc:

DataAngka
Aplikasi yang dimuat43.551
Terbuka tanpa login35.578
Meminta autentikasi1.993
Persentase terbuka (dari yang merespons)94,7%
Perkiraan berisi data rahasia650-800 aplikasi
Aplikasi staf SpaceXSI yang diturunkan24

Sumber: temuan Claroc yang dilaporkan The Hacker News dan Cybernews, November 2026.

Respons SpaceXSI

Claroc mengaku sudah melaporkan masalah ini ke SpaceXSI pada 8 dan 9 November 2026. Setelah itu, SpaceXSI menurunkan 24 aplikasi buatan stafnya sendiri, tetapi tidak menyentuh aplikasi milik pengguna Grok lainnya.

Per 10 November, Claroc menyatakan SpaceXSI belum membalas laporannya. Sampai berita ini ditulis, belum ada pernyataan resmi SpaceXSI soal perubahan pengaturan berbagi bawaan.

Baca Juga: Peretas Pakai Agen AI Hermes Curi 2.000 Dokumen Pemerintah Tajikistan

Pelajaran untuk Pengguna Pembuat Aplikasi AI

Kasus ini menjadi peringatan bagi siapa pun yang memakai layanan pembuat aplikasi AI atau vibe coding. Beberapa langkah sederhana bisa mengurangi risiko:

  1. Periksa pengaturan berbagi setiap kali menerbitkan aplikasi, jangan andalkan pilihan bawaan.
  2. Jangan anggap tautan yang sulit ditebak sebagai pengaman. Pasang login atau kata sandi untuk aplikasi berisi data.
  3. Jangan memasukkan data pelanggan, data medis, atau kata sandi asli ke aplikasi uji coba.
  4. Turunkan aplikasi lama yang sudah tidak dipakai.
  5. Untuk perusahaan, buat aturan internal soal layanan AI apa saja yang boleh dipakai karyawan.

FAQ

1. Berapa aplikasi Grok Build yang bisa dibuka tanpa login?

Claroc menemukan 35.578 aplikasi, atau 94,7% dari aplikasi yang merespons saat diuji.

2. Apa penyebab aplikasi Grok Build terbuka?

Setiap aplikasi punya hostname sendiri di grok.me yang ternyata bisa ditemukan lewat data passive DNS, sehingga bisa dibuka tanpa login.

3. Data apa saja yang terbuka?

Media melaporkan rencana penjualan SpaceXSI, daftar karyawan, data medis, dan kata sandi dalam teks biasa.

4. Kapan temuan ini dilaporkan?

Claroc melapor ke SpaceXSI pada 8-9 November 2026 dan mempublikasikan temuannya pada 10 November 2026.

5. Bagaimana cara agar aplikasi buatan AI tidak bocor?

Periksa pengaturan berbagi, pasang login, jangan simpan data asli di aplikasi uji coba, dan turunkan aplikasi yang tak dipakai.

Kesimpulan

Temuan Claroc memperlihatkan sisi gelap kemudahan membuat aplikasi dengan AI. Puluhan ribu aplikasi Grok Build terbuka untuk umum karena pengamannya hanya mengandalkan alamat yang dianggap sulit ditebak.

Bagi pengguna, pelajarannya jelas: AI bisa menyusun aplikasi dalam hitungan menit, tetapi keamanan data tetap tanggung jawab pembuatnya.