Grok Build逾3.5万应用无保护 泄露病历密码

时间：2026年11月10日（Claroc 公布研究报告当天；英文媒体在11月11日跟进报道） 地点：美国；涉及 SpaceXSI（原 xAI）的 Grok Build 平台与 grok.me 域名 人物：安全公司 Claroc 的研究团队；SpaceXSI 与 X 的员工；受影响的企业、医院集团与消防部门 事件详情：安全公司 Claroc 在11月10日公布的研究显示，用 Grok Build（SpaceXSI 的 vibe coding 模式，用户在聊天里描述需求、由 Grok 写代码）生成并发布的应用存在严重的访问控制问题。Claroc 检测时仍有 37571 个 Grok Build 应用在线，其中 35578 个不需要登录即可打开，占 94.7%，其余 1993 个返回 HTTP 401。可公开访问的应用里既有 SpaceXSI 自己的内部材料，也有第三方敏感数据，包括一份可检索的医院集团员工名册（员工超过 3500 人）、一份含实验室、影像和呼吸机参数的重症护理简报、船员与消防员身份信息、一份带法定姓名和私人邮箱的招聘名单，以及一个存放 18 个明文密码账号的员工排班脚本。 背景：Grok Build 会给每个发布出来的应用分配一个独立的 grok.me 子域名。Claroc 指出，发布对话框里 Anyone with the link（任何人可访问）默认就是选中的状态，而随机生成的地址在第一次访问之后就会被被动 DNS 服务记录进可按模式检索的公共数据库，原本难以猜到的地址因此变得可以枚举。Claroc 称，研究者只加载了每个应用的第一页，没有登录任何第三方应用、没有提交表单、没有调用服务端函数，也没有使用遇到的任何密码或密钥。 影响：Claroc 把开放应用里的内部数据归到 SpaceXSI 和 X 之外的 30 家组织，其中包括 26 家员工超过 1000 人的企业和 6 家财富 500 强公司；研究方估计约 2% 的应用包含足以被评为高危或严重的内容。受影响的 24 个应用来自 SpaceXSI 与 X 员工，泄露内容包括面向新企业销售团队的机密入职方案、覆盖 594 个战略客户的区域销售地图、广告方案、正在投放的广告主看板、活动报告，以及内部品牌安全手册的副本。Claroc 向 SpaceXSI 和相关公司通报后，部分公司迅速处置了暴露，但据报道 SpaceXSI 直到研究团队在 X 上联系到公司高管才作出回应，随后下线了自家的 24 个应用，而其他 Grok 用户与组织留下的应用并未同样处理。 总结：这起事件的要害不只是数据泄露，而是 AI 编程工具默认把生成的应用挂在可枚举的公共域名下，再加上 Anyone with the link 的默认勾选，等于给批量生成的应用发了一把万能钥匙。Claroc 在研究公布时提到，只有 SpaceXSI 和 X 员工构建的 24 个应用被下线，其余仍可访问。对所有做 vibe coding 的团队来说，默认的访问控制设置已经从可选项变成了必须自己收紧的一项。 参考来源： Engadget：A Grok vibe-coding agent leaked sensitive SpaceXSI data https://www.engadget.com/2313187/grok-build-leaked-sensitive-spacexsi-data/ The Decoder：Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline https://the-decoder.com/grok-built-apps-exposed-patient-data-plaintext-passwords-and-spacexsis-own-sales-pipeline/ Data Phoenix：35,578 Grok Build apps exposed data without sign-in https://dataphoenix.info/news/grok-build-app-data-exposure InfoBae：Más de 35.000 aplicaciones creadas con Grok quedaron abiertas a cualquiera https://www.infobae.com/tecno/2026/11/11/mas-de-35000-aplicaciones-creadas-con-grok-quedaron-abiertas-a-cualquiera-con-datos-medicos-y-de-empleados/ iHardware：Wielka wpadka Groka. Wyciekły dane Tesli, SpaceX i tysięcy pracowników https://ithardware.pl/aktualnosci/grok_build_publiczne_dane_spacexsi-56030.html Debugged Pro：Vibe Coding Security: Grok Build Leak Exposed 35,000 Apps https://debugged-pro.com/blog/vibe-coding-security-grok-build-app-leak-agency-guide-india-usa