Grok Build, 기밀 정보 수만 건 유출…SpaceXSI도 포함
원제: Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI
왜 중요한가
AI 코딩 에이전트의 공유 링크 설계 결함이 기업 기밀과 개인정보를 대규모로 노출시킨 사례로, 비슷한 구조의 플랫폼 전반에 경고를 던진다.
2026년 11월 10일, 보안 기업 Claroc가 SpaceXSI의 코딩 에이전트 Grok Build에서 약 3만 5,000개의 앱이 공개 열람 가능한 상태임을 발견했다. 유출 데이터에는 SpaceXSI 내부 문서, Tesla 직원 정보, 미 해군 계약 관련 명단 등이 포함됐다.
보안 기업 Claroc가 발표한 연구 결과에 따르면, Grok Build 플랫폼의 URL 설계 결함으로 인해 누구든 수만 개의 라이브 프로젝트를 열거하고 접근할 수 있었다. Grok Build는 URL을 무작위화해 링크를 아는 사람만 접근할 수 있도록 설계했지만, 개발 과정의 설계 결정이 이를 무력화했다.
Claroc는 총 3만 5,000개의 Grok Build 앱이 외부에 노출된 상태임을 확인했다. 유출된 정보는 사업 계획서, 광고 제안서, 의료 검진 결과, 직원 명단 및 사번 등을 포함한다. 특히 플랫폼을 운영하는 SpaceXSI(SpaceX와 xAI가 합병한 법인) 소속 앱 24개에서도 기밀 표시가 붙은 영업팀 신규 입사자 온보딩 계획서, 594개 계정이 담긴 영업 구역 지도, 내부 시스템 주소, 광고 제안서 등이 노출됐다.
Claroc는 "Grok을 만든 회사가 자사 내부 자료를 링크만 있으면 누구나 볼 수 있도록 방치하고 있었다"며 충격을 표했다. 피해를 입은 다른 조직으로는 페루 건설사(직원 3,784명의 산업보건 대시보드), Tesla(기술자 22명의 생산성·보너스 현황 카드), 미 해군 군수 지원 계약 업체(108명 명단), 유명 크루즈 선사(갤리 체크리스트 및 승무원 전체 명단) 등이 있다.
Claroc는 일요일에 SpaceXSI에 최초 통보했으나 응답이 없자 X에서 Elon Musk와 Grok 매니저 Matt Palmer를 태그했다. Ars Technica가 질의 이메일을 보낸 후 수 시간 내에 SpaceXSI는 24개 앱 링크를 모두 삭제했으며, 현재는 '앱을 찾을 수 없음' 오류가 반환된다.