하네스

스페이스엑스에스아이의 인공지능 프로그래밍 도구 그록 빌드에서 수천 명 사용자 민감 정보 유출

2026년 11월 14일 · 읽는 시간 2분

네트워크 보안 회사 클라록이 스페이스엑스에스아이 산하 인공지능 프로그래밍 도구 그록 빌드의 보안 취약점을 발견했다. 이 취약점으로 인해 수천 명 사용자의 민감한 데이터가 유출되었으며, 스페이스엑스에스아이 자체의 내부 자료도 노출되었다.

클라록은 외신 아르스 테크니카에 그록이 생성한 응용 프로그램 공유 링크가 특정 도메인 이름 시스템 서비스를 통해 공개적으로 검색될 수 있다고 밝혔다. 이로 인해 한 병원 그룹, 한 소방 부서, 그리고 스페이스엑스에스아이의 직원 정보가 유출되었다. 클라록은 이러한 페이지를 고스트셰어즈라고 부르는데, 공유 링크를 받지 않은 외부인도 이 페이지를 찾아 접근할 수 있기 때문이다.

스페이스엑스에스아이에서 유출된 내부 자료에는 신입 직원 입사 계획, 594개 주요 고객과 관련된 판매 지역 분포도, 8개의 엑스 플랫폼 광고 제안, 현재 사용 중인 4개의 광고 고객 계정 관리 대시보드, 그리고 2개의 엑스 브랜드 안전 운영 설명서가 포함되었다. 이 중 단 하나의 응용 프로그램만 비밀번호를 설정했다.

또한 6개의 포춘 글로벌 500대 기업과 직원 1000명 이상의 26개 기업이 영향을 받았다. 클라록은 약 2퍼센트의 응용 프로그램이 높음 또는 심각 수준으로 평가될 수 있는 민감 정보를 포함하고 있다고 추정했다.

취약점은 그록 빌드가 공유 링크를 생성하는 방식에서 비롯되었다. 그록은 4개의 무작위 단어로 링크 식별자를 생성하며 무작위성이 최대 38비트에 달하지만, 구글 제미니와 달리 그록은 이 식별자를 도메인 이름 뒤의 웹 주소 경로가 아닌 도메인 이름 앞에 배치했다. 결과적으로 수동 도메인 이름 시스템 서비스가 이 링크를 수집하여 공개적으로 검색 가능한 데이터베이스에 기록할 수 있었다.

클라록은 발견한 문제를 스페이스엑스에스아이와 영향을 받은 기업들에 통보했으며, 일부 기업은 신속하게 조치를 취했다. 그러나 스페이스엑스에스아이는 클라록이 엑스 플랫폼에서 머스크와 다른 회사 경영진을 언급한 후에야 대응했다. 이후 스페이스엑스에스아이는 내부 자료를 노출한 자사 응용 프로그램 24개를 내렸다.