Grok Build בונה אפליקציות מתוך הנחיה בטקסט או בקול, ומאפשר לשתף אותן בקישור. הכתובת כוללת כמה מילים אקראיות כדי שלא יהיה אפשר לנחש אותה, אבל לפי Claroc החלק האקראי נמצא בשם המתחם (לפני grok.me) ולא בנתיב, כמו בקישורי שיתוף של גוגל. לכן הכתובות נרשמות במאגרי DNS פסיביים שאפשר לחפש בהם. חיפוש כזה העלה 43,601 קישורים, ויותר מ-35 אלף מהם, כמעט 95%, נפתחו בלי הזדהות.
לפי Ars Technica, בין הנתונים החשופים היו תוכניות עסקיות פנימיות, הצעות פרסום, תוצאות בדיקות רפואיות, רשימות עבודה של חברת שייט ושמות ומספרי זהות של עובדים, גם מחברות Fortune 500 ומקבלן ביטחוני. 24 מהאפליקציות שייכות ל-SpaceXSI עצמה, ובהן תוכנית קליטה מסווגת לאיש מכירות ומפת אזורי מכירה עם 594 לקוחות. Claroc דיווחה ל-SpaceXSI ביום ראשון, והקישורים של 24 האפליקציות הוסרו רק אחרי ש-Ars פנתה לחברה. רוב שאר הנתונים עדיין היו זמינים בזמן הפרסום.
נציג של Cursor, שנרכשה על ידי SpaceXSI, אמר שהאפליקציות פרטיות כברירת מחדל, אבל לפי הבדיקות של Claroc ברירת המחדל לשיתוף היא "כל מי שיש לו את הקישור". Claroc מציינת שגם Lovable, Bolt ו-Replit נותנים לכל אפליקציה כתובת משלה, ולכן חשופים לאותה שיטה. מה לעשות: לבדוק אפליקציות ששותפו ב-Grok Build ולהגדיר שיתוף למשתמשים מוזמנים בלבד, אלא אם האפליקציה נועדה לציבור.