SpaceXSI旗下AI工具Grok Build遭曝漏洞，内部及多方敏感数据面临泄露风险
网络安全机构Claroc近期向媒体Ars Technica透露了一项重大安全隐患。SpaceXSI旗下的AI编程工具Grok Build存在设计缺陷，该缺陷导致大量用户敏感信息处于暴露状态。此次事件的影响范围不仅涵盖多家外部机构，连SpaceXSI自身的内部资料也未能避免泄露风险，涉及数据量巨大。
据Claroc研究人员在博客中分析，Grok生成的应用分享链接存在逻辑漏洞。由于标识符被放置在域名前而非网址路径中，与谷歌Gemini的处理方式不同，这使得被动DNS服务能够轻易收集这些链接。这些链接随后被记录在公开可检索的数据库中，即便未收到链接的外人也能自行发现并访问，这类页面被研究人员命名为“GhostShares”。
泄露的数据类型广泛且敏感。受影响主体包括一家医院集团、一家消防部门以及多家大型机构。其中，6家财富世界500强企业和26家员工超过1000人的企业均受到波及。Claroc估计，约2%的应用包含足以被评为高危或严重级别的敏感信息，这表明泄露内容具有较高的数据安全等级。
SpaceXSI泄露的内部资料细节尤为引人关注。内容涉及新员工入职计划、覆盖594个重点客户的销售区域分布图、8份X平台广告提案、4个仍在使用的广告客户账户管理看板，以及两份X品牌安全操作手册。值得注意的是，在这些暴露的应用中，仅有一个设置了密码保护，其余均处于公开访问状态。
技术层面的漏洞根源在于Grok Build生成分享链接的方式。虽然系统使用4个随机单词生成链接标识，随机性最高达到38比特，但这种架构设计使得链接极易被DNS扫描工具捕获。研究人员对此表示震惊，指出开发公司竟然允许任何拿到链接的人查看内部资料，暴露了安全防护意识的缺失。
在事件处理流程上，Claroc向SpaceXSI及相关受影响企业通报了问题。部分企业迅速采取技术措施阻断信息继续泄露。然而，SpaceXSI的响应速度令人诟病，直到Claroc在X平台上公开点名马斯克及另一名公司高管后，该公司才正式介入处理此事。
作为应对措施，SpaceXSI随后下架了24个暴露内部资料的自家应用。尽管核心资料得到了清理，但对于其他Grok用户和机构仍可被公开访问的应用，SpaceXSI并未采取同样的下架措施。这一做法引发了关于平台安全责任边界的讨论，显示出在全面清除风险方面仍有不足。
