--- title: "SpaceXSI'nin Grok Build kodlama aracı binlerce kullanıcıdan gizli veri sızdırdı" url: "https://teknotayf.com/haber/spacexsi-nin-grok-build-kodlama-araci-binlerce-kullanicidan-gizli-veri-sizdirdi" markdown_url: "https://teknotayf.com/haber/spacexsi-nin-grok-build-kodlama-araci-binlerce-kullanicidan-gizli-veri-sizdirdi.md" site: "teknotayf.com" language: "tr" published: "2026-11-11 00:12:59" updated: "2026-11-11 01:24:38" category: "Yapay Zeka" tags: ["Yapay Zeka Güvenliği","Veri Sızıntısı","Grok Build","SpaceXSI"] source: "Ars Technica" --- # SpaceXSI'nin Grok Build kodlama aracı binlerce kullanıcıdan gizli veri sızdırdı > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/spacexsi-nin-grok-build-kodlama-araci-binlerce-kullanicidan-gizli-veri-sizdirdi > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Güvenlik firması Claroc, SpaceXSI'ye ait Grok Build platformundaki paylaşım bağlantılarının kolayca saydırılabildiğini ve binlerce projenin açık olduğunu tespit etti. Sızan bilgiler arasında SpaceXSI'nin kendi dahili belgeleri ile Fortune 500 şirketlerine ve savunma yüklenicilerine ait hassas veriler yer alıyor. Araştırmacılar, bağlantıların DNS üzerinden görünür hale gelmesinin tasarım hatasından kaynaklandığını belirtiyor. - **Yayın tarihi:** 2026-11-11 00:12 - **Kategori:** [Yapay Zeka](https://teknotayf.com/kategori/yapayzeka) - **Etiketler:** Yapay Zeka Güvenliği, Veri Sızıntısı, Grok Build, SpaceXSI - **Yazan:** TeknoTayf.com - **Kaynak:** [Ars Technica](https://arstechnica.com/security/2026/11/grok-build-coding-agent-leaks-oodles-of-confidential-info-some-belonging-to-spacexsi/) ![SpaceXSI'nin Grok Build kodlama aracı binlerce kullanıcıdan gizli veri sızdırdı](https://teknotayf.com/assets/uploads/2026/11/406cafc0e676121bea53520e772f0ebe.webp) SpaceXSI'den gelen vibe-coding aracı Grok Build, binlerce kullanıcısından veri sızdırıyor. Sızanlar arasında tescilli iş bilgisi ve diğer hassas sırlar bulunuyor; platformu sunan Elon Musk'a ait şirket de bu kullanıcılar arasında. Bunu yeni bir araştırma ortaya koydu. Bilgiler, Grok Build kullanıcılarının uygulamalarını başkalarıyla paylaşmalarına olanak tanıyan bağlantılar üzerinden açığa çıkıyor. Grok, URL'leri rastgeleleştirerek yalnızca tam adresi bilenlerin veriye erişmesini amaçlıyor. Platform geliştiricilerinin yaptığı bir tasarım kararı bu amacı tamamen bozuyor ve herkesin binlerce canlı Grok Build projesini saydırmasını mümkün kılıyor. Nadir durumlar dışında bu bağlantılara tıklamak uygulamayı açıyor ve tüm ilişkili veriyi gösteriyor. ## Tek işin buydu Güvenlik firması Claroc'un araştırmasına göre sızan veriler arasında iç iş planları, reklam teklifleri, tıbbi muayene sonuçları, ünlü bir kruvaziyer hattından mutfak kontrol listeleri ve çalışan adları ile kimlik numaraları yer alıyor. İronik şekilde hassas verilerin bir kısmı, yeni birleşen SpaceX ve xAI'nın adı olan SpaceXSI tarafından oluşturulan yaklaşık iki düzine uygulamadan geliyor. Claroc'un SpaceXSI uygulamalarında bulduğu 24 belge arasında, SpaceXSI'nin kurumsal satış ekibine yeni katılan bir üye için gizli olarak işaretlenmiş bir oryantasyon planı, 594 hesaplık bir satış bölgesi haritası, satış ekibi araçları için iç sistem adresleri ve reklam teklifleri bulunuyor. "Şok olduk," diye yazdı Claroc Salı günü yaptığı paylaşımda. "Grok'u yapan şirketin kendi dahili materyali, bağlantıya sahip olan herkes için açıktı ve bize hiç verilmemişti. Satış ekibi bunu bir araç için satın alsaydı, şirket girişinin arkasında kalır ve sadece ekibe açık olurdu. Yapay zekayla inşa edildiğinde, bağlantıya sahip herkes için açık olarak yayına girdi." ![](https://teknotayf.com/assets/uploads/2026/11/52a9ac7f7cc58ca8dde560eeba9d561d.png) ![](https://teknotayf.com/assets/uploads/2026/11/ce360f64fa9e59c2d902941872f5668c.png) ![](https://teknotayf.com/assets/uploads/2026/11/99dcc4e0a3bd582cb366660573d1e5f8.png) Claroc, gizlilik ihlalini Pazar günü SpaceXSI'ye bildirdi. Kimse yanıt vermeyince bir Claroc yetkilisi X'te Musk'ı ve Grok yöneticisi Matt Palmer'ı tehdit konusunda etiketledi. Bu paylaşım yayına girdiğinde tüm veriler hâlâ erişilebilirdi; tek istisna 24 SpaceXSI uygulamasının içeriğiydi. Bu uygulamaların hepsi Pazartesi akşamı bilgiyi açığa çıkarıyordu. SpaceXSI, Ars'ın bu makale için sorular içeren e-postasını göndermesinden birkaç saat içinde bağlantıları kaldırmaya başladı. Bu paylaşım yayına girdiğinde 24 uygulamanın tümü için bağlantılar "uygulama bulunamadı" hatası döndürüyordu. ![](https://teknotayf.com/assets/uploads/2026/11/aaf8131aeab94d1fff26ec97e0f4eb4c.png) Claroc, diğer Grok Build kullanıcılarına ait hassas veri buldu; bazıları Fortune 500 şirketleri ve bir savunma yüklenicisi için çalışıyor. Etkilenen kuruluşlardan ve açığa çıkan verilerden bazıları şöyle: Perulu bir inşaat şirketi: 3.784 işçinin tıbbi muayenesini içeren iş sağlığı kontrol paneli Tesla: verimlilik ve prim durumunu gösteren 22 teknisyenin adını içeren servis merkezi puan kartı ABD Donanması gemi mühendisliği yüklenicisi: Donanma lojistik destek sözleşmesinde 108 kişinin listesi Önde gelen bir lüks kruvaziyer şirketi: mürettebatın tam adı ve çalışan kimliğiyle listelendiği bir ünlü kruvaziyer hattı için mutfak kontrol listesi Bir sağlık şirketi: ad ve kimlikle yaklaşık 3.565 çalışanın listesini içeren hastane personeli uygulaması ABD'li bir BT hizmetleri şirketi: büyük bir perakende müşterisine sunulan gizli teklif ve donanım malzeme listesi Norveç-Finlandiya havacılık ve savunma grubu: ABD'deki bir tesisin patlayıcı binası için yük tahtası ve yükleme prosedürü artı HSE eğitim matrisi ABD'li bir ev inşaat şirketi: yaklaşık 583 ev alıcısı adayı, bütçe ve finansman notlarını içeren satış arama sayfası Malaylı bir holding şirketi: kâr ve satış rakamlarıyla 37 gelişmeyi izleyen proje monitörü Bir oto taşıma şirketi: yaklaşık 4.000 araç taşıma siparişi, fiyat ve marj içeren teklif masası ABD'li bir veri merkezi kolokasyon ve barındırma hizmeti: Avrupa'daki bir taşıyıcıya sunulan gizli IP transit teklifi ![](https://teknotayf.com/assets/uploads/2026/11/c5bd0c6c6f106878575a4404a6222a7b.png) ![](https://teknotayf.com/assets/uploads/2026/11/8eba5d930a986468a0291f20b5ee4d5f.png) ![](https://teknotayf.com/assets/uploads/2026/11/bb243f0cae4e5a1978bc2536eaa85862.png) Claroc'un kurucu ortağı ve CTO'su Asaf Aprozper, şirketleri bilgilendirme sürecinde olduğunu söyledi. Lüks kruvaziyer şirketinin CISO'suyla konuşmasının ardından şirket "bulguları paylaştığımız anda tüm güvenlik ekibini devreye aldı ve Grok açığını sınırlamak için çalışmaya başladı." ## Ölümcül bir kusur… diğer çoğu yapay zeka platformunun da paylaştığı Grok Build için bağlantı paylaşımı, uygulamaları geliştirme ve dağıtma sürecini hızlandırmayı amaçlıyor. Bir kullanıcı konuşma veya metin girerek dakikalar içinde dahili test için hazır bir uygulama elde edebiliyor. Bağlantılar, uygulamanın yetkili kullanıcıların önüne hızlıca çıkarılmasını sağlıyor. URL'lerin en solunda iki veya daha fazla "zar kelimesi" bulunuyor; yani "failing chassis traders" gibi rastgele üretilmiş ifadeler, kullanıcılar bunları değiştirebiliyor. Bağlantının en sağ kısmı grok.me. Bir X reklam kampanyası planı için URL şuydu: https://cinder-crane-sand-frost.grok.me. Şema, bağlantıların kolayca tahmin edilmesini engellemeyi amaçlıyor. Doğru yapıldığında üç zar kelimesinden oluşan bir ifade yaklaşık 38 bit entropiye sahip oluyor ve bu da milyarlarca olası kombinasyon anlamına geliyor. Fikir bazen yetki tabanlı erişim kontrolü olarak adlandırılıyor; URL'ye sahip olmak, arkasındaki kaynaklara yetki olarak hizmet ediyor. Google uzun süredir URL'leri kolay paylaşılır ama tahmin edilmesi zor yapmak için bu tekniği kullanıyor. Bu platformda bir paylaşım şöyle görünebilir: https://docs.google.com/document/d/1BxiMVs0XRA5nFMdKvBdBZjgmUUqptlbs74OgvE2upms/edit SpaceXSI'nin mekanizmayı uygulayışında ölümcül bir kusur var. Rastgelelik, Google bağlantılarında olduğu gibi alan adının sağında değil, Grok Build bağlantılarında alan adının solunda konumlandırılıyor. Bu da bağlantıların pasif DNS servisleri kullanılarak kolayca saydırılabilmesini sağlıyor. Bu servisler merkezi DNS sorgu sunucularını izliyor. Daha önce hiç görülmemiş bir URL'nin IP adresi için sunucu sorgusu yapıldığında işlem, herkese açık olarak aranabilen bir veritabanında yakalanıyor. Grok Google yaklaşımını izleseydi, bağlantılar pasif DNS arayanlar için görünmez olurdu. CEO'su Mark Zuckerberg'in güvenlik için sıfırdan inşa edildiğini söylediği Meta aracı Muse, hassas veri sızdırdığı tespit edildikten sonra bağlantı paylaşım özelliğini askıya aldı. Aprozper, pasif bir DNS aramasının grok.me ile biten 43.601 bağlantı döndürdüğünü söyledi. Bunların 35 binden fazlası, yaklaşık yüzde 95'i, herkese açıktı; yani bağlantıya tıklamak ilgili uygulamayı ve depoladığı tüm veriyi açıyordu. Geçen hafta boyunca yaptığı testlerde Grok'un varsayılan olarak bağlantıları "Bağlantıya sahip herkes" olarak ayarladığını belirtti. Kullanıcılar ayarı "davetli kullanıcılar" veya "yalnızca sen" olarak değiştirebiliyor. SpaceXSI'nin yakın zamanda satın aldığı yapay zeka kodlama hizmeti Cursor'dan bir temsilci e-posta ile "Grok Build uygulamaları varsayılan olarak özel ve hiçbir şey yaratıcının paylaşmayı seçmediği sürece herkese açık hale gelmiyor" dedi. Temsilci, ChatGPT, Lovable ve Bolt'tan gelen rakip kodlama ajanlarının da kullanıcıların paylaşılabilir bağlantılar oluşturmasına olanak tanıdığını söyledi. Aprozper'ın testleri temsilcinin açıklamasını çürütüyor. Tüm durumlarda Grok Build, kullanıcıların "bağlantıya sahip herkes" seçeneğini diğer iki seçeneğe çevirmesini gerektirdi. Cursor'un diğer yapay zeka kodlama platformlarına ilişkin açıklaması doğru. Aprozper, Lovable, Bolt ve Replit dahil uygulama oluşturucuların "her uygulamaya kendi web adresini verdiğini, böylece aynı DNS kayıtlarının onları da açığa çıkardığını" söyledi. "Ancak Grok'ta şimdiye kadar en hassas şirket verisini biz burada bulduk." Bu, bu diğer platformları kullanan kişilerin de paylaşılan bağlantılar yoluyla hassas veri açığa çıkarma riski altında olduğu anlamına geliyor. İlginç şekilde, doğru paylaşım bağlantısı uygulamasını izleyen yapay zeka platformları arasında Claude'un yayınlanmış eserleri, ChatGPT'nin paylaşılan sohbetleri ve Gemini bulunuyor. Üçü için de gizli rastgelelik yolun içinde olduğundan DNS bunu hiç görmüyor. Temsilci, SpaceXSI'nin tescilli dahili bilgiyi kasıtlı olarak açığa çıkarıp çıkarmadığına, Ars'ın konuyu sormasının ardından şirketin veriyi neden kaldırdığına ve benzer türde bilgi açığa çıkaran müşterileri bilgilendirmeyi planlayıp planlamadığına ilişkin takip sorularına yanıt vermedi. Grok Build ile paylaşılabilir bağlantılar kullanan herkes, uygulamayı geniş kitleye açık hale getirmek istemiyorsa "diğerlerini davet et" seçeneğini seçmeli. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/spacexsi-nin-grok-build-kodlama-araci-binlerce-kullanicidan-gizli-veri-sizdirdi Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.