安全公司 Claroc：94.7% 的 Grok 构建应用可被任意访问，含患者数据和 SpaceXSI 内部文件

安全公司指出，用 AI 助手 Grok 构建的应用几乎都对任何拿到链接的人开放。泄露的数据包括患者记录，以及 Grok 的开发方 SpaceXSI 自家的机密文件。

安全公司 Claroc 在近期一份报告中称，发现超过 35,000 个无需登录即可访问的 Grok 构建应用。在 SpaceXSI（该公司前身为 xAI）的“Build”模式下，用户在对话中描述应用，Grok 负责写代码。应用只有创建者点击“Publish”后才会公开，并由此获得一个 grok.me 上的独立地址。

在 Claroc 检查的 37,571 个仍在线应用中，有 35,578 个对任何人开放。报告称这一比例达 94.7%。Claroc 认为问题出在发布对话框上。在该公司用于测试的付费账户中，“Anyone with the link”选项已是默认选中状态。这些地址也很容易找到：每个应用都有自己的子域名，首次访问后就会出现在商业被动 DNS 数据库中，而这些数据库支持按模式检索。

Six-step diagram showing how an app published with the "Anyone with the link" default gets its own grok.me subdomain, appears in passive DNS data, and can be accessed by strangers without an account. — 每个已发布的应用都有自己的子域名，首次访问后便会进入可检索的被动 DNS 数据库。| 图片：Claroc

SpaceXSI 员工也泄露了内部文件

可访问的应用中有 24 个来自 SpaceXSI 和 X 的员工。其中一个是一份面向新企业销售团队成员的机密入职计划，内含内部系统地址和 19 个聊天频道。Claroc 还发现了一份可公开访问的销售区域地图，包含 594 个战略客户和销售管道数据，以及八份 X 广告提案。其中一份提案针对美国联邦机构，并标注为机密。广告投放的营销活动报告和仪表盘同样处于暴露状态。

Dashboard titled "North Central Territory Mapper" from xAI Grok Enterprise Sales showing 594 strategic accounts across six territories in the U.S. Midwest, with company names redacted. — 这份销售区域地图将 594 个战略客户分配给六个区域，并按优先级排序。| 图片：Claroc

Claroc 表示，大多数开放应用是游戏、落地页或计算器。但约十分之一包含敏感材料、内部业务数据或个人信息。该公司将约 2% 归类为问题特别严重。研究人员估计，有 650 到 800 个应用包含隐私数据。

已确认的案例包括一份含患者化验值的 ICU 简报、一家医院集团 3,500 多名员工的名单，以及一份消防部门的排班表。一个工时表应用的源代码中包含 18 个明文密码账户。除 SpaceXSI 和 X 之外，Claroc 还识别出 30 家受影响机构，其中六家是《财富》500 强企业。该公司未披露这些机构的名称。

Excerpt from the script of a timesheet app showing account entries with ID, name, password, and password hash fields, all values redacted. — 一个 Grok 构建的工时表应用脚本中包含 18 个明文密码账户。| 图片：Claroc

Grok 测试应用允许外部账户加入团队

Claroc 自己的两个测试应用还暴露出另一个问题。一个联系人列表应用的数据库没有登录验证，匿名访客可以直接添加条目。在一个销售团队客户列表应用中，Grok 自行加入了 Google 和 X 登录。但在这个测试应用里，Grok 生成的代码先把每个通过身份验证的用户加入团队，之后才检查成员资格。于是一个外部 Google 账户就能读取、编辑和删除记录。Claroc 表示，写入和删除测试只在其自家应用上进行。

Six-step diagram showing how a stranger signs in with Google or X, gets added to the team by the app first, and then passes the team membership check. — 在 Claroc 的测试应用中，Grok 生成的代码先把每位通过身份验证的访客加入团队，之后才检查成员资格。| 图片：Claroc

Grok 确实提供了正确的设置。当设为“仅限你”时，测试应用会阻止外部访问，只是这不是默认选项。在针对 ChatGPT 的测试中，新建应用在分享时默认设为“仅限我”。该应用的地址也可能出现在 DNS 数据中，但打开后只有所有者本人能访问。

SpaceXSI 表示发布需要经过多个步骤

SpaceXSI 在回应此次披露时仅表示，应用在创建者分享之前都是私密的，发布需要经过多个步骤，包括一份法律声明，并且员工账号默认设为“仅限你”。Claroc 反驳称，如果最后一步仍然预选“任何拥有链接的人”，多几次点击也无济于事。该公司还表示，那 24 个开放的员工应用也说明，针对员工账号的更严格默认设置实际帮助甚微。

Claroc 建议 SpaceXSI 将“仅限你”设为默认，并在发布前显示谁将获得访问权限。Grok 还应在应用配有数据库却没有登录功能时发出警告。应用不应使用单独的子域名，而应运行在共享主机上难以猜测的路径下，这样其名称就不会出现在 DNS 数据中。

SpaceXSI 此后已将那 24 个员工应用下线，但尚未移除其他 Grok 用户和组织下的开放应用。Claroc 提出可以保密方式分享完整的地址列表。由于 SpaceXSI 未承诺联系受影响的拥有者，Claroc 现在直接通知他们。该公司在此事上也有自身利益，它销售针对 AI 构建应用的安全解决方案。

这至少是 SpaceXSI 涉及 Grok 的第三起隐私事件。2025 年 8 月，Forbes 在 Google 搜索中发现超过 37 万条被分享的 Grok 对话。2026 年 7 月，终端工具 Grok Build 未经询问便将用户文件上传至公司服务器，其中包括 SSH 密钥和密码数据库。由于 Grok 生成色情深度伪造内容，爱尔兰数据保护机构也正在调查 X 是否忽视了设计层面的数据保护。

其他提供商在分享功能上也存在类似问题。Claroc 采用同样的被动 DNS 方法，在 10 月追踪到 Meta 的智能体 Muse 约 6,800 条被分享的对话。在 Anthropic，被分享的 Claude 聊天和 artifacts 于 7 月出现在搜索引擎中，其中包括用户构建的应用。

没有炒作的 AI 新闻——由人工精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻简报、每年六期独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。