Grok Build 앱 3만5천여 개 로그인 없이 열려…DNS 조회 기록서 주소 발견

Grok Build는 대화창에 원하는 앱을 설명하면 Grok이 코드를 작성해 웹 앱을 만드는 기능입니다. Claroc Research의 Asaf Aprozper는 2026년 11월 10일 공개한 조사에서 grok.me 아래 앱 주소를 모아 접속한 결과, 온라인 앱 수만 개가 로그인 없이 열렸다고 밝혔습니다. Ars Technica는 다음 날 SpaceXSI와 X 직원이 만든 앱 24개에도 내부 자료가 있었으며, 보도 시점에는 해당 앱 주소가 모두 ‘앱을 찾을 수 없음’ 화면으로 연결됐다고 전했습니다.

각 앱은 이름.grok.me 형태의 주소를 받습니다. 브라우저에서 주소를 열면 DNS 조회를 통해 접속할 서버 주소를 찾습니다. 패시브 DNS 서비스는 이런 조회 기록을 모아 검색할 수 있도록 제공합니다. Claroc은 주소에 무작위 단어가 들어가도 호스트명이 조회 기록에 남으면 이름을 추측하지 않고 검색해 찾을 수 있다고 설명했습니다. 연구진은 일반적인 서브도메인 탐색 기법으로 grok.me 아래 주소를 찾고, 공개 인터넷에서 로그인 없이 앱마다 첫 화면을 한 차례 불러와 저장본을 검토했습니다.

Claroc이 보고한 수치로는 온라인 상태였던 앱 37,571개 가운데 35,578개가 로그인 없이 열렸습니다. 이는 온라인 상태인 앱의 94.7%입니다. Claroc은 사적 자료가 있을 법한 앱을 자동 선별 모델로 표시한 뒤 사람이 확인했습니다. 연구진이 직접 살펴본 무작위 표본으로 모델의 결과를 점검해 사적 자료가 담긴 앱을 약 650~800개로 추산했습니다.

확인된 자료에는 병원 직원 명단, 중환자실 환자 한 명의 검사 결과와 영상·호흡기 정보, 직원 이름과 사번, 영업 계획과 고객 정보 등이 포함됐습니다. SpaceXSI와 X 직원이 만든 앱 24개에서는 기밀 표시가 붙은 신입 직원 안내서, 594개 계정의 영업 지역 지도, 광고 제안서 등이 발견됐습니다.

앱을 만드는 기능은 무료 플랜에서도 쓸 수 있었지만, Claroc이 시험한 계정에서는 게시하려면 유료 플랜이 필요했습니다. 앱은 제작자가 게시를 마친 뒤에 공개됩니다. Claroc은 자신들이 쓴 계정의 게시 화면에서 ‘링크가 있는 사람’이 기본 선택이었고, ‘초대된 사용자’와 ‘나만 보기’도 고를 수 있었다고 밝혔습니다. SpaceXSI는 직원 계정에서는 ‘나만 보기’가 기본이며 제작자가 공유를 선택해야 공개된다고 설명했습니다. 두 설명은 Claroc이 시험한 계정과 SpaceXSI 직원 계정의 기본 설정을 각각 가리킵니다.

Claroc은 링크를 열 수 있는지와 방문자가 저장된 자료를 바꿀 수 있는지를 따로 시험했습니다. 연구진이 가짜 자료로 만든 연락처 앱은 로그인 없이 열렸고, 시크릿 창에서 추가한 연락처가 다음 방문자에게도 보였습니다. 팀용 고객 명단 앱에는 Google과 X 로그인이 있었지만, Grok이 만든 코드는 로그인한 이용자를 팀에 추가한 다음 팀원인지 확인했습니다. 그 결과 소유자가 초대하지 않은 Google 계정도 고객 정보를 읽고 항목을 수정하거나 삭제할 수 있었습니다.

수정·삭제 시험은 Claroc이 직접 만든 앱 두 개에서만 진행됐습니다. Claroc은 다른 사람의 앱에 로그인하거나 양식을 제출하거나 서버 기능을 호출하지 않았으며, 발견한 비밀번호나 키도 사용하지 않았다고 밝혔습니다. Ars Technica 보도 시점에는 SpaceXSI 직원이 만든 앱 24개가 모두 열리지 않았고, Claroc은 다른 Grok 사용자와 조직이 만든 앱은 계속 열려 있었다고 기록했습니다.