2026년 11월 11일, 보안 업체 Claroc이 보고서를 발표했다. 아직 운영 중인 Grok 제작 앱 37,571개를 조사한 결과, 35,578개가 로그인 없이 열렸다. 94.7%다. 문제는 게시 단계의 기본 설정에 있다. Claroc이 유료 계정으로 테스트한 결과, 게시 대화 상자에서 'Anyone with the link(링크를 아는 사람은 누구나 볼 수 있음)'가 미리 선택되어 있었다.
이 앱들은 어떻게 발견됐나
게시된 앱은 모두 고유한 grok.me 서브도메인을 받으며, 첫 방문 후 상용 패시브 DNS 데이터베이스에 등록되어 패턴 검색이 가능하다. 접근 가능한 앱의 약 10분의 1에는 민감한 내용, 내부 업무 데이터 또는 개인정보가 들어 있었고, 약 2%는 특히 심각했으며, 650~800개 앱에 개인정보가 포함된 것으로 추정된다. 확인된 사례로는 환자의 검사 값이 담긴 중환자실 브리핑, 병원 그룹 3,500여 명의 직원 명단, 소방서 근무표, 그리고 18개 계정의 평문 비밀번호가 소스 코드에 들어 있는 근태 앱이 있다. 최소 30개 조직이 영향을 받았고, 포춘 500대 기업 6곳이 포함된다.
자사 직원 앱도 예외가 아니었다
접근 가능한 앱 중 24개는 SpaceXSI와 X 직원 자신의 것이었다. 새 영업 팀원의 온보딩 계획(내부 시스템 주소와 19개 채팅 채널 포함), 594개 전략 고객을 표시한 영업 지역 지도, 8건의 광고 제안서(그중 하나는 미국 연방 기관을 대상으로 하며 기밀 표시)가 포함됐다. Claroc의 자체 테스트에서는 권한 로직 문제도 발견됐다. 한 연락처 앱의 데이터베이스에는 로그인 보호가 없어 익명 방문자가 기록을 추가할 수 있었고, 다른 고객 목록 앱은 Google이나 X 계정으로 로그인한 사람을 먼저 팀에 추가한 뒤 멤버 자격을 확인했기 때문에 외부 계정이 기록을 읽고, 수정하고, 삭제할 수 있었다. 쓰기와 삭제 테스트는 자사 앱에서만 수행했다.
이 사건의 경계는 어디인가
Grok에도 올바른 선택지가 있다. 'Only you(나만)'로 바꾸면 외부 접근을 막을 수 있고, ChatGPT의 신규 앱도 기본적으로 본인만 볼 수 있다. SpaceXSI는 앱은 공유 전에는 비공개이며, 게시에는 법적 고지를 포함한 여러 단계가 필요하고, 직원 계정은 기본적으로 '나만'이라고 답했다. Claroc의 반박은 이렇다. 마지막 단계에서도 공개 공유가 미리 선택되어 있고, 24개의 직원 앱이 그 증거다. SpaceXSI는 이 24개 직원 앱만 내렸고, 다른 사용자의 공개 앱은 정리하지 않았다. Claroc은 영향을 받은 사람들에게 직접 알리고 있다. 한 가지 더 덧붙이자면, Claroc 자체가 AI 제작 앱용 보안 솔루션을 판매하므로 보고서에는 상업적 이해관계가 있다. 이는 Grok 관련 세 번째 개인정보 사건이다. 2025년 8월에는 37만 개가 넘는 공유 대화가 구글 검색에서 발견됐고, 2026년 7월에는 Grok Build가 사용자에게 묻지 않고 파일을 업로드했다는 지적을 받았다. 같은 날 Grok 관련 또 다른 소식은 여러 건의 집단 소송이지만, 그것은 생성 콘텐츠 남용에 관한 다른 사건이다。
Grok으로 앱을 만들어 본 사람은 지금 당장 공유 설정을 확인하고, 공개 앱을 '나만'으로 되돌리며, 데이터베이스에 로그인 보호가 있는지 확인해야 한다. 다음으로 지켜볼 것은 SpaceXSI가 기본 설정을 바꿀지 여부다. 그전까지는 앱이 하나 더 게시될 때마다 검색으로 찾을 수 있는 입구가 하나 더 늘어난다.
