Grok Build被曝数据暴露：35578个应用无需登录即可访问

11月12日，安全公司Claroc发布调查报告称，SpaceXSI旗下AI应用开发工具Grok Build存在数据暴露风险。研究人员对43551个Grok应用地址做了测试，其中仍在线的是37571个，而35578个不用登录就能打开，占比94.7%。

Claroc表示，公开的应用大多是游戏、计算器和落地页，不过有一部分存着企业内部资料或个人信息。据研究人员估算，约650至800个应用含私人数据；公开应用中约2%涉及严重程度较高的敏感内容，比如患者检查结果、企业员工名册、消防员排班信息、求职者姓名及邮箱，还有直接写进程序代码的员工明文密码。暴露也波及Grok开发商自身：研究人员发现，SpaceXSI和X员工创建的24个应用可被外部访问，内容涉及企业销售团队的机密入职计划、含594个客户账户的销售区域地图、内部系统地址，以及面向广告客户和美国联邦机构的提案。另有30家机构的内部资料出现在公开应用中，其中6家为《财富》世界500强企业。

Claroc认为，问题出在Grok Build的应用分享机制上。应用发布后会得到一个以“grok.me”为后缀的独立网址，这些地址虽然带随机字符，却可能被被动DNS服务收录和检索。研究人员还称，其测试账户发布应用时，系统已预先选好“知道链接的任何人”这一访问选项。

对上述问题，SpaceXSI回应称，Grok应用在创建者主动分享之前保持私密，发布要经过多个操作步骤，其员工账户默认设为“仅自己可见”。Claroc在11月8日至9日向SpaceXSI报告相关问题后，SpaceXSI和X员工创建的24个应用已被下架，其他用户公开应用后续如何处理，目前尚未公布。