Grok Build 漏洞致 SpaceXSI 内部资料与数千用户数据公开暴露
大水冲了龙王庙？AI 编程工具 Grok Build 漏洞导致 SpaceXSI 敏感资料暴露
做 AI 编程工具的都得看看这个案例：Grok Build 把分享链接的标识放在域名前，结果被动 DNS 把链接全收录了，连开发公司自己的内部资料都被搜出来。和 Gemini 的链接设计一对比就很清楚，泄露后官方还是被点名才处理。用 AI 生成应用做内部工具的团队尤其要检查自己的分享链接设置。
网络安全公司 Claroc 发现，SpaceXSI 旗下 AI 编程工具 Grok Build 存在安全漏洞，导致数千名用户数据泄露，涉及一家医院集团、一家消防部门，以及 6 家《财富》世界 500 强企业和 26 家员工超 1000 人的公司。Claroc 将这类可被外人自行检索到的页面称为“GhostShares”，估计约 2% 的应用包含高危或严重级别的敏感信息。
漏洞根源在于 Grok Build 生成分享链接的方式：链接标识由 4 个随机单词组成，随机性最高 38 比特，但与谷歌 Gemini 不同，Grok 把标识放在域名前而非域名后的路径中，导致被动 DNS 服务能收集这些链接并写入公开可检索的数据库。泄露的 SpaceXSI 内部资料包括新员工入职计划、涉及 594 个重点客户的销售区域分布图、8 份 X 平台广告提案、4 个广告客户账户管理看板和两份 X 品牌安全操作手册，其中只有一个应用设置了密码。
Claroc 通报后，部分受影响企业迅速采取防护措施，而 SpaceXSI 是在 Claroc 于 X 平台点名马斯克和另一名高管后才作出回应，随后下架了 24 个暴露内部资料的自家应用。对于其他用户仍可被公开访问的应用，SpaceXSI 并未采取同样措施。
大水冲了龙王庙？AI 编程工具 Grok Build 漏洞导致 SpaceXSI 敏感资料暴露
IT之家 11 月 11 日消息，网络安全公司 Claroc 发现，SpaceXSI 旗下的 AI 编程工具 Grok Build 存在安全漏洞，导致数千名用户的敏感数据泄露， 连 SpaceXSI 自己的内部资料也未能幸免 。 Claroc 向外媒 Ars Technica 透露，Grok 生成的应用分享链接 可以通过某些 DNS 服务被公开检索 ，造成一家医院集团、一家消防部门以及 SpaceXSI 的员工信息泄露。 研究人员在博客中写道：“我们感到震惊。 开发 Grok 的公司竟然让任何拿到链接的人都能查看自己的内部资料 。” Claroc 将此类页面称为“GhostShares”，因为即使没有收到分享链接，外人也能自行找到并访问这些页面。 SpaceXSI 泄露的内部资料，包括新员工入职计划、涉及 594 个重点客户的销售区域分布图、8 份 X 平台广告提案、4 个仍在使用的广告客户账户管理看板，以及两份 X 品牌安全操作手册。其中 只有一个应用设置了密码 。 此外，还有 6 家《财富》世界 500 强企业和 26 家员工超过 1000 人的企业受到影响。Claroc 估计，约 2% 的应用包含 足以被评为高危或严重级别 的敏感信息。 漏洞源于 Grok Build 生成分享链接的方式。Grok 虽然使用 4 个随机单词生成链接标识，随机性最高达到 38 比特，但与谷歌 Gemini 不同，Grok 将这些标识放在域名前，而不是域名后的网址路径中 。结果，被动 DNS 服务可以收集这些链接，并将其记录在公开可检索的数据库中。 Claroc 将发现的问题通报给 SpaceXSI 和受影响企业，部分企业迅速采取措施，防止信息继续泄露。不过，SpaceXSI 直到 Claroc 在 X 平台上点名马斯克和另一名公司高管后才作出回应。 随后，SpaceXSI 下架了 24 个暴露内部资料的自家应用。对于其他 Grok 用户和机构仍可被公开访问的应用，SpaceXSI 并没有采取同样措施。
This report is categorized under AITOP's "Industry" desk, focusing on US frontier AI labs and Silicon Valley technology leaders. Within our cross-regional analytical framework, it directly maps to US-China foundation model benchmarks and commercialization comparison and AI developer toolchains, coding agents, and engineering workflows. Key entities and technical topics under continuous tracking include Grok Build, Gemini, 数据泄露, AI安全.
Source attribution: curated from IT之家.
