Grok Build 分享链接可被枚举：安全公司 Claroc 找到 3.5 万个公开可访问的应用，连 SpaceXSI 自己的机密销售资料都在里面

最新研究显示，SpaceXSI 推出的「氛围编程」（vibe-coding）智能体 Grok Build 正在泄露数千名用户的数据，其中一些是专有商业信息和其他敏感机密，受害者甚至包括提供这个平台的、由埃隆·马斯克拥有的公司本身。

这些信息是通过 Grok Build 用户用来把应用分享给他人的链接暴露出来的。Grok 采取了措施把这些 URL 随机化，这样只有知道确切 URL 的人才能访问其中存储的数据。然而，平台开发者的一个设计决定彻底破坏了这个目的，使任何人都可以枚举出数千个在线的 Grok Build 项目。除了极少数情况，点开这些链接就会打开应用，并显示与之相关的全部数据。

你只有一件事要做好

安全公司 Claroc 的研究显示，暴露的数据包括内部商业计划、广告提案、体检结果、一家名人邮轮公司的厨房检查清单，以及员工姓名和工号。讽刺的是，部分敏感数据就来自 SpaceXSI（SpaceX 与 xAI 合并后的名称）自己构建的二十多个应用。在 SpaceXSI 的应用中暴露的文件里（Claroc 找到了 24 个这样的应用），随便抽查一小部分就有：一份标为机密的、给 SpaceXSI 企业销售团队新成员的入职计划，一张涵盖 594 个客户的销售区域地图，销售团队工具的内部系统地址，以及广告提案。

「我们震惊了，」Claroc 在周二的一篇文章中说，「做 Grok 的这家公司，自己的内部材料对任何持有链接的人敞开，而我们从来没有被给过这些链接。如果销售团队是买了一款工具来做这些事，它会被放在公司登录之后，只对团队开放。用 AI 构建出来，它上线时就对任何拿到链接的人开放。

Claroc 在周日就这次隐私泄露通知了 SpaceXSI。在没有人回应之后，Claroc 的一名负责人在 X 上同时 @ 了马斯克和 Grok 负责人 Matt Palmer，提醒这一威胁。在本文发布时，几乎所有数据仍然可以访问，唯一一个明显的例外是：那 24 个 SpaceXSI 应用里的内容。周一晚上，这些应用全部都还在暴露信息。在 Ars 发邮件就本文提出问题后的几个小时内，SpaceXSI 开始删除这些链接。在本文发布时，全部 24 个应用的链接都返回「找不到应用」（app not found）的错误。