Grok Build漏洞致SpaceXSI内部资料暴露
网络安全公司Claroc发现SpaceXSI旗下AI编程工具Grok Build存在分享链接可被公开检索的漏洞，导致医院集团、消防部门及SpaceXSI内部员工信息、销售区域图、广告提案等敏感资料暴露，部分应用随后被下架。
驱动中国11月11日消息，网络安全公司Claroc发现，SpaceXSI旗下AI编程工具Grok Build存在安全漏洞，导致数千名用户的敏感数据泄露，SpaceXSI自身内部资料也被暴露。
Claroc向Ars Technica说明，Grok生成的应用分享链接可通过部分DNS服务被公开检索，一家医院集团、一家消防部门以及SpaceXSI员工信息因此出现泄露。研究人员在博客中表示，开发Grok的公司让任何拿到链接的人都能查看其内部资料，这一情况令其感到震惊。
Claroc将此类页面称为GhostShares，原因是即便外部人员没有获得分享链接，也可以自行找到并访问相关页面。被暴露的SpaceXSI内部资料包括新员工入职计划、涉及594个重点客户的销售区域分布图、8份X平台广告提案、4个仍在使用的广告客户账户管理看板，以及两份X品牌安全操作手册，其中仅有一个应用设置了密码。
受影响范围还包括6家《财富》世界500强企业和26家员工超过1000人的企业。Claroc估计，约2%的应用包含足以被评为高危或严重级别的敏感信息。
该漏洞与Grok Build生成分享链接的方式有关。Grok使用4个随机单词生成链接标识，随机性最高达到38比特；与谷歌Gemini不同，Grok将这些标识放在域名前，而不是放在域名后的网址路径中。被动DNS服务因此能够收集这些链接，并将其记录在公开可检索的数据库中。
Claroc已将发现的问题通报给SpaceXSI和受影响企业，部分企业迅速采取措施，防止信息继续泄露。SpaceXSI直到Claroc在X平台上点名马斯克和另一名公司高管后才作出回应。随后，SpaceXSI下架了24个暴露内部资料的自家应用，但对于其他Grok用户和机构仍可被公开访问的应用，SpaceXSI没有采取同样措施。