[SpaceX(SPCX) AI 부문, 'Grok Build' 앱 3만5천여 개가 로그인 없이 열려… SpaceXSI 내부 영업자료도 노출]
보안업체 클라록(Claroc)은 11월 10일(미국 시간) 공개한 보고서에서, SpaceX와 xAI가 합병해 출범한 SpaceXSI의 AI 코딩 도구 'Grok Build'로 만든 웹앱 가운데 3만5,578개가 로그인 없이 누구에게나 열려 있었다고 밝혔습니다. 클라록은 https://t.co/PB0QERfraX 주소 4만3,601개를 찾아 그중 4만3,551개를 시험했고, 11월 8~10일 시험 기간에 접속이 가능했던 앱 3만7,571개 중 94.7%가 외부인에게 그대로 열렸다고 설명했습니다. 이 내용은 아르스테크니카(Ars Technica)가 같은 날 처음 보도했습니다.
Grok Build는 말이나 글로 원하는 기능을 설명하면 몇 분 만에 웹앱을 만들어 주는 이른바 '바이브 코딩' 도구로, 2026년 8월 이용 범위가 넓어졌습니다. 완성된 앱에는 'https://t.co/3FyMg5XjRd'처럼 무작위 단어 조합으로 된 고유 주소가 붙습니다. 주소를 추측하기 어렵게 만들어, 링크를 아는 사람만 들어오게 하려는 방식입니다.
문제는 이 무작위 단어가 도메인 이름 자체(하위 도메인)에 들어 있다는 점입니다. 누군가 앱을 처음 열면 인터넷 주소록에 해당하는 DNS 조회가 일어나고, '패시브 DNS'라는 서비스는 이런 조회 기록을 모아 검색 가능한 데이터베이스로 판매합니다. 결국 공유한 적 없는 주소도 목록으로 뽑아낼 수 있었다는 것이 클라록의 설명입니다. 구글 문서나 ChatGPT·Claude·Gemini의 공유 링크는 비밀 문자열을 도메인 뒤쪽 경로에 두기 때문에 DNS 기록에 남지 않습니다. 여기에 클라록의 시험 계정에서는 앱을 게시할 때 공유 범위가 '링크가 있는 모든 사람'으로 미리 선택돼 있었다고 합니다.
노출된 앱 대부분은 게임이나 계산기 같은 무해한 것이었지만, 클라록은 약 10%(650~800개)에 민감한 업무·개인 정보가 들어 있었고 약 2%는 위험도 '높음' 이상이었다고 추정했습니다. 사례로는 한 병원의 직원 약 3,565명 명단, 중환자 관련 브리핑, 페루 건설사의 근로자 건강검진 3,784건, 미 해군 지원 계약 인력 108명 명단, 관리자 계정을 포함한 비밀번호 18개가 평문으로 담긴 근태 앱, 테슬라 서비스센터 기술자 22명의 성과·보너스 현황표 등이 제시됐습니다. 포춘 500대 기업 6곳을 포함해 30개 외부 조직의 데이터가 확인됐습니다.
특히 SpaceXSI 직원들이 만든 앱 24개에서도 '기밀' 표시가 붙은 기업영업팀 신입 온보딩 계획, 전략 고객 594곳의 영업 지역 지도, 내부 시스템 주소, X 광고 제안서 등이 나왔습니다. 클라록은 11월 8일(일) 회사에 알렸으나 답이 없어 X에서 머스크 CEO 등을 직접 언급했고, SpaceXSI는 아르스테크니카의 질의 후 몇 시간 만에 자사 앱 24개를 내렸습니다. 다만 보고서 공개 시점까지 다른 이용자들의 공개 앱에 대한 조치는 확인되지 않았습니다.
회사 측 입장은 엇갈립니다. SpaceXSI가 인수한 코딩 서비스 커서(Cursor)의 대변인은 "앱은 기본적으로 비공개이며 제작자가 공유를 선택해야 공개된다"고 밝혔지만, 클라록은 자체 시험 결과가 이와 다르다고 반박했습니다. 더버지에 따르면 Grok 측은 X에서 해당 보도가 Grok Build가 아니라 https://t.co/z2mMwZB9do의 '앱 빌더' 기능에 관한 것이라 "부정확하다"고 했고, 게시 전 공유 설정과 경고 문구를 확인하도록 돼 있다고 밝혔습니다. 클라록의 수치는 회사가 독립적으로 검증해 준 것이 아니라는 점도 함께 감안해야 합니다.
▶ 투자자 관점
SPCX에서 AI 부문(SI)의 비중은 이미 큽니다. 3분기 SI 매출은 75.6억 달러로 전체 145.8억 달러의 절반을 넘었습니다. 이번 사안이 당장 매출에 미칠 영향은 확인되지 않았지만, 기업 고객에게 AI 도구를 파는 사업에서는 보안 신뢰가 곧 영업 경쟁력입니다. 앤트로픽·구글 등과 경쟁하는 기업용 시장에서 구매 담당 부서의 보안 심사가 까다로워질 수 있고, 의료·개인정보가 섞여 있었던 만큼 미국 FTC나 유럽 개인정보 규제(GDPR) 당국의 관심, 피해 기업의 법적 대응 가능성도 위험 요인으로 남습니다. 반대로 회사가 기본 공유 설정을 '나만 보기'로 바꾸고, 주소 구조를 고치고, 피해 이용자에게 신속히 알린다면 일회성 사고로 정리될 수도 있습니다. 같은 구조의 주소 방식은 러버블·리플릿·볼트 등 경쟁 앱 빌더에도 있다는 것이 클라록의 지적이어서, 업계 전반의 문제로 번질 여지도 있습니다.
앞으로 확인할 지표는 △SpaceXSI의 공식 해명과 기본 설정·주소 구조 변경 여부 △피해 이용자 통지와 노출 앱 차단 범위 △규제 당국의 조사 착수 여부 △기업 고객 이탈이나 계약 지연 언급(다음 실적 발표) 등입니다. 12월 8일 내부자 보호예수 해제, 테슬라와의 합병 검토 등 다른 변수도 함께 주가에 작용하고 있어, 이번 사안만으로 주가 영향을 단정하기는 어렵습니다.
▶ 앞으로의 변화
단기적으로는 Grok Build를 포함한 AI 앱 빌더 이용 기업들이 자사 직원이 만든 앱을 점검하는 계기가 될 가능성이 큽니다. 중장기적으로는 코딩을 모르는 직원도 몇 분 만에 데이터베이스가 붙은 앱을 만드는 시대에, 회사 보안팀이 모르는 '그림자 앱'이 늘어나는 문제가 핵심 과제로 떠오릅니다. 생산성을 크게 높여 주는 도구일수록 기본값이 안전해야 한다는 원칙, 즉 공유는 사용자가 명시적으로 선택할 때만 열리도록 하는 설계가 AI 개발 도구의 표준이 될지가 관전 포인트입니다.
출처