Grok Build 安全漏洞致数千用户敏感数据泄露，SpaceXSI 内部资料也外泄

网络安全公司 Claroc 发现，SpaceXSI 旗下 AI 编程工具 Grok Build 存在安全漏洞，导致数千名用户的敏感数据泄露，连 SpaceXSI 自己的内部资料也未能幸免。

漏洞源于 Grok 生成分享链接的方式。它用 4 个随机单词生成标识，随机性最高达 38 比特，但将标识放在域名前而非路径中，导致被动 DNS 服务可收集链接并公开收录，外人即使没收到分享链接也能访问页面。

受影响方包括一家医院集团、一家消防部门、6 家《财富》世界 500 强企业及 26 家员工超 1000 人的企业，约 2%的应用含有高危或严重级别敏感信息。SpaceXSI 泄露的资料包括新员工入职计划、涉及 594 个重点客户的销售区域分布图等，只有一个应用设有密码。

Claroc 已通报相关企业，部分迅速采取行动。SpaceXSI 在 X 平台被点名后才作出回应，目前已下架 24 个暴露内部资料的自家应用，其他受影响应用仍可被公开访问。