Claroc 称 3.5 万个 Grok 生成应用可无登录访问，含患者数据与明文密码

据一家安全公司称，用 AI 助手 Grok 构建的应用几乎对任何拿到链接的人开放。泄露的数据包括患者记录以及 Grok 开发商 SpaceXSI 自身的机密文件。

根据近期的一份报告，安全公司 Claroc 发现超过 35,000 个无需登录即可访问的 Grok 构建应用。在 SpaceXSI（该公司前身为 xAI）的“Build”模式中，用户在聊天中描述一个应用，Grok 便编写代码。应用只有在创建者点击“Publish”后才会公开，届时它会在 grok.me 上获得自己的地址。

在 Claroc 检查的 37,571 个仍在线应用中，有 35,578 个对任何人开放。据该报告称，这一比例为 94.7%。Claroc 将原因指向发布对话框。在该公司用于测试的付费账户上，“Anyone with the link”已是预选项。这些地址也很容易找到。每个应用都有自己的子域名，因此其名称在首次访问后就会出现在商业被动 DNS 数据库中。这些数据库可以按模式搜索。

Six-step diagram showing how an app published with the "Anyone with the link" default gets its own grok.me subdomain, appears in passive DNS data, and can be accessed by strangers without an account. — 每个已发布的应用都有自己的子域名，首次访问后便会进入可搜索的被动 DNS 数据库。| 图片：Claroc

SpaceXSI 员工也泄露了内部文件

24 个可访问的应用来自 SpaceXSI 和 X 的员工。其中一份是新企业销售团队成员的机密入职计划，包含内部系统地址和 19 个聊天频道。Claroc 还发现了一份可公开访问的销售区域地图，包含 594 个战略客户和销售管道数据，以及八份 X 广告提案。其中一份提案针对一家美国联邦机构，并被标记为机密。包含广告支出的活动报告和仪表盘也被泄露。

Dashboard titled "North Central Territory Mapper" from xAI Grok Enterprise Sales showing 594 strategic accounts across six territories in the U.S. Midwest, with company names redacted. — 该销售区域地图将 594 个战略客户分配给六个区域，并按优先级排序。| 图片：Claroc

Claroc 表示，大多数开放应用是游戏、落地页或计算器。但约十分之一包含敏感材料、内部业务数据或个人信息。该公司将大约 2% 归类为尤其严重。研究人员估计，有 650 至 800 个应用包含私人数据。

已确认的案例包括一份包含患者化验值的 ICU 简报、一份某医院集团 3,500 多名员工的名单，以及一份消防部门轮班表。一个工时表应用的源代码包含 18 个使用明文密码的账户。除 SpaceXSI 和 X 外，Claroc 还确认了 30 家受影响组织，其中六家是《财富》500 强公司。该公司未公布这些名称。

Excerpt from the script of a timesheet app showing account entries with ID, name, password, and password hash fields, all values redacted. — 一个 Grok 构建的工时表应用的脚本包含 18 个使用明文密码的账户。| 图片：Claroc

Grok 测试应用允许外部账户加入团队

Claroc 自己的两个测试应用还暴露了另一个问题。一个联系人列表应用最终使用了一个无需登录的数据库，因此匿名访客可以添加条目。对于一个销售团队客户列表，Grok 自行添加了 Google 和 X 登录。然而在该测试应用中，Grok 的代码先将每个通过身份验证的用户加入团队，之后才检查成员资格。于是一个外部 Google 账户可以读取、编辑和删除记录。Claroc 表示，它仅在自己的应用上进行了写入和删除测试。

Six-step diagram showing how a stranger signs in with Google or X, gets added to the team by the app first, and then passes the team membership check. — 在 Claroc 的测试应用中，Grok 编写的代码先将每个通过身份验证的访客加入团队，之后才检查成员资格。| 图片：Claroc

Grok 确实提供了正确的设置。当设置为“仅限你”时，测试应用阻止了外部访问。只是它不是默认设置。在与 ChatGPT 的测试中，新建的应用在共享时默认设置为“仅限我”。该应用的地址也可能出现在 DNS 数据中，但它指向的应用只有所有者才能打开。

SpaceXSI 表示发布需要多个步骤

SpaceXSI 在回应此次披露时仅表示，应用在创建者共享之前是私密的，发布需要多个步骤，包括法律声明，并且员工账户默认设置为“仅限你”。Claroc 反驳称，如果在最后一步仍然预选“任何拥有链接的人”，那么额外的点击也无济于事。该公司表示，这 24 个开放的员工应用也表明，针对员工账户的更严格默认设置实际上帮助甚微。

Claroc 建议 SpaceXSI 将“仅限你”设为默认设置，并在发布前显示谁将拥有访问权限。Grok 还应在应用有数据库但没有登录功能时发出警告。应用不应使用单独的子域名，而应在共享主机上运行于难以猜测的路径，这样它们的名称就不会出现在 DNS 数据中。

SpaceXSI 此后已将 24 个员工应用下线，但尚未从其他 Grok 用户和组织中移除这些开放应用。Claroc 提出可以保密方式分享完整的地址列表。由于 SpaceXSI 未承诺联系受影响的拥有者，Claroc 现在正直接通知他们。该公司在此有自己的利益。它销售针对 AI 构建应用的安全解决方案。

这至少是 SpaceXSI 涉及 Grok 的第三起隐私事件。2025 年 8 月，Forbes 在 Google 搜索中发现了超过 37 万条共享的 Grok 对话。2026 年 7 月，终端工具 Grok Build 未经询问就将用户文件上传到公司服务器，包括 SSH 密钥和密码数据库。由于 Grok 生成的色情深度伪造内容，爱尔兰数据保护机构也在调查 X 是否忽视了设计中的数据保护。

其他提供商在共享功能方面也有类似问题。使用相同的被动 DNS 方法，Claroc 在 10 月追踪到了约 6,800 条共享对话，来自 Meta 的智能体 Muse。在 Anthropic，共享的 Claude 聊天和工件在 7 月出现在搜索引擎中，包括用户构建的应用。

没有炒作的 AI 新闻——由人类策划

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、我们每年六次的独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。