安全公司 Claroc：约 94.7% 的 Grok 构建应用可被任何人访问，泄露患者数据和 SpaceXSI 内部文档

据一家安全公司称，使用 AI 助手 Grok 构建的应用几乎总是对任何拥有链接的人开放。泄露的数据包括患者记录以及来自 Grok 母公司 SpaceXSI 本身的机密文件。

根据最近的一份报告，安全公司 Claroc 发现了超过 35,000 个无需登录即可访问的 Grok 构建应用。在 SpaceXSI 的 "Build" 模式（该公司前身为 xAI）中，用户通过聊天描述一个应用，Grok 便会编写代码。只有当创建者点击 "Publish" 时，应用才会公开，并在 grok.me 上获得自己的地址。

在 Claroc 检查的 37,571 个仍在线的应用中，有 35,578 个对任何人开放。据该报告称，这一比例为 94.7%。Claroc 指出发布对话框是原因所在。在该公司用于测试的付费账户上，"Anyone with the link"（任何拥有链接的人）已被预选。这些地址也很容易找到。每个应用都有自己的子域名，因此在首次访问后，其名称就会出现在商业被动 DNS 数据库中，而这些数据库可以按模式搜索。

Six-step diagram showing how an app published with the "Anyone with the link" default gets its own grok.me subdomain, appears in passive DNS data, and can be accessed by strangers without an account. — 每个已发布的应用都有自己的子域名，首次访问后会进入可搜索的被动 DNS 数据库。| 图片来源：Claroc

SpaceXSI 员工也泄露了内部文件

在可访问的应用中，有 24 个来自 SpaceXSI 和 X 的员工。其中包含一份针对新企业销售团队成员的机密入职计划，其中涉及内部系统地址和 19 个聊天频道。Claroc 还发现了一张可公开访问的销售区域地图，包含 594 个战略客户和销售管道数据，以及八份 X 广告提案。其中一份提案针对一家美国联邦机构，并被标记为机密。广告支出相关的活动报告和仪表板也遭到泄露。

Dashboard titled "North Central Territory Mapper" from xAI Grok Enterprise Sales showing 594 strategic accounts across six territories in the U.S. Midwest, with company names redacted. — 这张销售区域地图将 594 个战略客户分配到六个区域，并按优先级排序。| 图片来源：Claroc

Claroc 表示，大多数公开的应用是游戏、落地页或计算器。但大约十分之一包含敏感材料、内部业务数据或个人信息。该公司将约百分之二归类为特别严重。研究人员估计有 650 到 800 个应用包含私人数据。

已确认的案例包括一份包含患者化验值的 ICU 简报、一份列出某医院集团超过 3,500 名员工的名单，以及一份消防部门轮班表。一个工时记录应用的源代码中包含 18 个使用明文密码的账户。除 SpaceXSI 和 X 之外，Claroc 还确认了 30 个受影响的组织，其中六家是财富 500 强公司。该公司拒绝公布其名称。

Excerpt from the script of a timesheet app showing account entries with ID, name, password, and password hash fields, all values redacted. — 一个 Grok 构建的工时记录应用的脚本中包含 18 个使用明文密码的账户。| 图片来源：Claroc

Grok 测试应用让外部账户加入团队

Claroc 自己的两个测试应用暴露了另一个问题。一个联系人列表应用最终连接到了一个没有登录机制的数据库，匿名访客可以添加条目。对于一个销售团队客户列表，Grok 自行添加了 Google 和 X 登录。不过，在该测试应用中，Grok 的代码先将每个通过身份验证的用户加入团队，之后才检查成员资格。这样，一个外部 Google 账户就能够读取、编辑和删除记录。Claroc 表示，它只在自己的应用上进行了写入和删除测试。

Six-step diagram showing how a stranger signs in with Google or X, gets added to the team by the app first, and then passes the team membership check. — 在 Claroc 的测试应用中，Grok 编写的代码先将每个通过身份验证的访客加入团队，之后才检查成员资格。| 图片来源：Claroc

Grok 确实提供了正确的设置。当设置为"仅自己"时，测试应用阻止了外部访问，只是这并非默认设置。在 ChatGPT 的测试中，新构建的应用在分享时默认为"仅限本人"。该应用的地址也会出现在 DNS 数据中，但它指向一个只有所有者才能打开的应用。

SpaceXSI 表示发布需要多个步骤

SpaceXSI 对此次披露仅回应称，应用在其创建者分享之前是私密的，发布需要多个步骤（包括法律通知），且员工账户默认为"仅自己"。Claroc 反驳说，如果最后一步仍预选"任何拥有链接的人"，那么额外的点击并无帮助。该公司表示，这 24 个公开的员工应用也表明，员工账户的更严格默认设置实际上收效甚微。

Claroc 建议 SpaceXSI 将"仅自己"设为默认值，并在发布前显示谁将拥有访问权限。Grok 还应在应用有数据库但没有登录功能时发出警告。应用不应使用单独的子域名，而应在共享主机上以难以猜测的路径运行，以免其名称出现在 DNS 数据中。

SpaceXSI 此后已将 24 个员工应用下线，但尚未从其他 Grok 用户和组织中移除公开的应用。Claroc 提出可以保密方式分享完整的地址列表。由于 SpaceXSI 未承诺联系受影响的所有者，Claroc 现在直接通知他们。该公司在此事上有自身利益：它销售面向 AI 构建应用的安全解决方案。

这至少是 SpaceXSI 涉及 Grok 的第三起隐私事件。2025 年 8 月，Forbes 在 Google 搜索中发现了超过 37 万条共享的 Grok 对话。2026 年 7 月，终端工具 Grok Build 未经询问就将用户文件上传到公司服务器，其中包括 SSH 密钥和密码数据库。由于 Grok 生成的性化深度伪造内容，爱尔兰数据保护局也在调查 X 是否忽视了设计中的数据保护。

其他提供商的分享功能也存在类似问题。使用相同的被动 DNS 方法，Claroc 在 10 月追查到 Meta 智能体 Muse 的约 6,800 条共享对话。在 Anthropic，共享的 Claude 聊天和 artifacts 于 7 月出现在搜索引擎中，其中包括用户构建的应用。

没有炒作的 AI 新闻——由真人精心挑选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期独家"AI Radar"前沿报告、完整档案访问权限以及评论区的访问权限。