henry 发自 凹非寺

量子位 | 公众号 QbitAI

Grok 在让人破绷这件事上，从来不会让人失望。

就在刚刚，安全公司 Claroc 发现，超过 3.5 万个用 Grok 构建的应用，无需登录就能访问，其中一部分直接暴露了企业机密和个人隐私。

最扎眼的是，老马自家的 SpaceXSI（SpaceX 与 xAI 合并后的公司）和 X，也在其中。

员工入职计划、销售客户资料、广告提案……连自家的底儿，都被抖出来了。

而且，没合并的特斯拉也没躲过去。一份服务中心评分表，把 22 名技术人员的姓名、工作效率和奖金情况摆到了公开网页上。

更骚的是，不光是用自己产品的自家员工遭了殃，泄露内容还涉及普通人的敏感信息。

包括，ICU 患者的化验结果、影像检查、呼吸机使用记录，以及企业员工的明文账户密码。

我勒个豆，真就用 Grok，免费送一键开盒吗？

到底泄露了什么？

具体来说，在事情的一开始，Claroc 测试了 43551 个（37571 个仍然在线）Grok Build 应用地址，发现 94.7% 的在线应用无需登录就能打开。

虽说这些应用大多都是你我制作的 AI 泔水，像什么小游戏，计算器之类的……

但沙里淘金，经过模型筛查和人工抽样，Claroc 估计，其中大概有 650 — 800 个应用包含私密数据。

涉及的机构包括 SpaceXSI、X，以及另外 30 家企业，其中 6 家入选《财富》500 强。

这些数据有多敏感呢，举几个例子你就知道了：

1、一份 ICU 患者简报，包含患者化验结果、影像检查和呼吸机使用状态。

2、一家承包商的工时管理应用，把 18 个账户的明文密码写进了脚本，访问页面的人都可以下载。

3、SpaceXSI 的内部销售工具，包含战略客户账户、销售商机和内部团队信息。

4、特斯拉服务中心评分表，包含员工姓名、工作效率和奖金情况。

。。。。

看下来，虽然真有「谁家好人」在 Vibe Coding 上的东西，记录自己的密码，以及体检报告。

但 Grok 这家伙直接给人公之于众了，也实在过于逆天。

那么，这些本来应该只在公司内部流转的数据，怎么会出现在公开网页上？

一个随机链接，怎么就成了开盒入口？

简单来说，在你用 Grok vibecoding 时，它会为每个发布的应用分配一个独立网址，形式类似于随机名称 .grok.me。

这些随机名称由几个单词组成，设计初衷就是让别人难以猜中。但问题在于，网址难猜，不代表访问权限安全。

Claroc 发现，这些应用地址可以通过被动 DNS（Passive DNS）数据库批量找到。

简单来说，每当有人访问一个网站，计算机都需要通过 DNS 查询域名对应的服务器地址。部分 DNS 解析服务会收集这些查询记录，并将其放进可搜索的数据库。

于是，一条发现路径就形成了：

有人访问应用 → DNS 查询留下记录 → 域名进入被动 DNS 数据库 → 外部人员批量找到应用地址。

如果应用的访问权限设置为「任何持有链接的人」，那么只要找到网址，就能直接打开。

也就是说，Grok 用随机网址增加了应用被发现的难度，却没有真正解决访问控制问题。

为了公平起见，Claroc 还拿 ChatGPT 应用做了对照测试：其应用地址同样可能被被动 DNS 收录，但分享面板默认设置为「仅限我」。即使别人找到了网址，也无法访问。

此乃 ChatGPT 一胜！

此外，为了验证 Grok 生成的代码是否可靠以及如何处理团队权限。

Claroc 后面还用虚构数据，自行搭建了一个供四人销售团队使用的客户管理应用。

虽说 Grok 确实自动添加了 Google 和 X 登录功能，但研究人员检查代码后发现了一个低级错误：

应用先把登录者加入团队，再检查他是不是团队成员。也就是先拉你进群，再看是不是群友。

那肯定都是群友啦……

随后，研究人员使用一个从未受到邀请的 Google 账户登录，结果不仅看到了全部客户资料，还成功修改了一条记录、删除了另一条记录。

也就是说，只要你想，Grokd 的大门永远为你敞开。

官方回应与后续

事情曝光后，SpaceXSI 向媒体表示，应用在创建者主动分享前都是私密的，发布需要经过多个步骤。

公司还称，其员工账户默认设置为「仅限你」，要公开应用，需要主动修改权限。

但 Claroc 表示，在其用于测试的付费账户中，发布面板预先选中的，却是「任何持有链接的人」。

这里的关键在于：

发布前私密，和发布时默认让谁访问，是两道题。

如果一路点完「发布」，最终预选的访问范围仍然是所有持有链接的人，多确认几次，也不会自动补上一份团队成员名单。

研究人员也验证了 Grok 现有的权限控制功能。

切换为「仅限你」后，陌生人访问页面和数据接口，都会被拒绝；取消发布，也能在几秒内让应用下线。

所以，Grok 有能用的保护措施。问题在于，用户把内部工具发布出去时，这些措施有没有真正用上。

目前，这事儿已经在推特吵起来了，有人认为是人自己开的权限，也有人认为是 Grok 的权限设置有问题。

至于后续的处理嘛，直到 Ars Technica 发出采访邮件后的数小时内，SpaceXSI 才开始移除相关链接。

截至报道发布，24 个由 SpaceXSI 和 X 员工创建的应用已经全部下线。

但其他用户创建的大量应用仍然可以访问，Claroc 也已开始自行联系受影响机构。

至于平台是否会主动通知其他受影响客户，Ars Technica 也尚未得到明确答复。