Grok Build

安全公司 Claroc 发现超过 3.5 万个用 Grok 构建的应用无需登录即可访问，约 650 至 800 个应用包含私密数据，涉及 SpaceXSI、X 及特斯拉的内部销售资料、员工绩效与奖金表，甚至 ICU 患者记录和明文密码。问题根源在于 Grok 为每个应用分配的随机子域名仅靠难猜的网址充当访问控制，而非真正的鉴权机制。SpaceXSI 与 X 员工创建的应用已全部下线，但大量第三方应用仍在线。

安全公司 Claroc 发现，SpaceXSI 旗下 AI 编程工具 Grok Build 生成的分享链接可被被动 DNS 服务公开检索，导致数千名用户及 SpaceXSI 自身内部资料泄露，约 2% 的应用含高危敏感信息。漏洞根源在于 Grok 将随机标识放在域名前而非网址路径中，SpaceXSI 在公开点名后才下架 24 个自家应用，但未对其他受影响用户采取同等措施。

安全公司 Claroc 的研究显示，SpaceXSI 旗下的 vibe-coding 智能体 Grok Build 因分享链接设计缺陷，导致数千个项目的内部数据可被任意枚举访问，泄露内容涵盖商业计划、医疗检查结果与员工身份信息。讽刺的是，其中约 24 个泄露应用由 SpaceXSI 自身构建，包含标密的入职方案与 594 个客户账户的销售版图。