Claroc 披露 Grok Build 分享链接可枚举，数万应用公开可访问
先了解这件事
安全公司 Claroc 发布研究称，SpaceXSI（SpaceX 与 xAI 合并后主体）旗下编码智能体 Grok Build 生成的应用大量对外公开：其检查的 37,571 个仍在线的应用中，35,578 个（94.7%）无需登录即可访问，约 2% 包含可评为高危或严重级别的敏感信息，内容包括商业计划、广告提案、体检结果、员工姓名和工号等。 Grok 本对分享链接做了 URL 随机化，意图让只有知道确切链接的人才能访问，但据 Claroc 研究，发布时默认预选“任何有链接的人”，且每个应用使用独立子域名、首次访问后会进入可被动检索的 DNS 数据库，链接可被枚举或公开检索，保护因而失效。泄露者中包括 SpaceXSI 自建的 24 个应用，涉及机密入职计划、覆盖 594 个账户的销售区域地图和内部系统地址。 据报道，SpaceXSI 已将自家这 24 个应用下线，但对其他用户和机构仍可公开访问的应用并未采取同样措施。
AI 根据报道生成 · 23 小时前更新
报道时间线
沿着报道，了解事件的不同侧面。
- IT之家·人工智能安全公司 Claroc 披露 Grok Build 漏洞致 SpaceXSI 内部资料及数千用户数据暴露
网络安全公司 Claroc 发现，SpaceXSI 旗下 AI 编程工具 Grok Build 的分享链接可被被动 DNS 服务公开检索，导致数千用户敏感数据泄露，包括一家医院集团、一家消防部门及 SpaceXSI 自身内部资料。
- The Decoder安全公司称 94.7% 的 Grok 生成应用可被任何人访问，含患者数据与 SpaceXSI 内部文件
安全公司 Claroc 发现 Grok Build 模式生成的 37,571 个在线应用中有 35,578 个（94.7%）无需登录即可访问，原因是发布时默认预选“任何有链接的人”，且每个应用使用独立子域名、首次访问后会进入可搜索的 passive DNS 数据库。
- Ars Technica · AI研究显示 Grok Build 编码智能体泄露数千用户敏感数据，包括 SpaceXSI 自家机密
安全公司 Claroc 的研究显示，SpaceXSI 旗下 vibe-coding 智能体 Grok Build 的分享链接虽做了 URL 随机化，但因设计缺陷可被枚举，数千个在线项目因此可被任何人访问。泄露内容包括商业计划、广告提案、体检结果、员工姓名和工号等，其中 SpaceXSI 自建的 24 个应用也涉及机密入职计划、覆盖 594 个账户的销售区域地图和内部系统地址。
本事件热度走势
还没有足够的连续观测数据，暂不绘制趋势。