Grok Build漏洞：SpaceXSI敏感资料外泄，594客户销售图在列

网络安全公司 Claroc 发现，SpaceXSI 旗下 AI 编程工具 Grok Build 存在安全漏洞，数千名用户的敏感数据因此泄露，SpaceXSI 自己的内部资料也没能躲过。11 月 11 日消息。

据 Claroc 向 Ars Technica 透露，Grok 生成的应用分享链接能通过部分 DNS 服务被公开检索到，一家医院集团、一家消防部门以及 SpaceXSI 的员工信息都因此外泄。

研究人员在博客里写道：“我们感到震惊。开发 Grok 的公司竟然让任何拿到链接的人都能查看自己的内部资料。”

这类页面被 Claroc 称作“GhostShares”——外人不必收到分享链接，也能自己找到并打开。

SpaceXSI 泄露的内部资料里，有新员工入职计划、覆盖 594 个重点客户的销售区域分布图、8 份 X 平台广告提案、4 个仍在使用的广告客户账户管理看板，还有两份 X 品牌安全操作手册；这些应用中仅有一个设了密码。另有 6 家《财富》世界 500 强企业和 26 家员工超过 1000 人的企业受到波及。Claroc 估计，约 2% 的应用含有的敏感信息足以被评为高危或严重级别。

问题出在 Grok Build 生成分享链接的方式上。Grok 用 4 个随机单词生成链接标识，随机性最高 38 比特，可它和谷歌 Gemini 不一样，把这些标识放在域名前面，而非域名之后的网址路径里。被动 DNS 服务于是能收集这些链接，记进公开可检索的数据库。

Claroc 把问题通报给 SpaceXSI 和受影响企业，部分企业很快采取措施，阻止信息继续泄露。SpaceXSI 却一直没动静，直到 Claroc 在 X 平台上点名马斯克和另一名公司高管，它才作出回应。

之后，SpaceXSI 下架了 24 个暴露内部资料的自家应用。至于其他 Grok 用户和机构那些仍可被公开访问的应用，SpaceXSI 没有采取同样的做法。