Grok Build 分享链接被指泄露机密信息，含 SpaceXSI 内部资料

核心事实

据 Ars Technica 报道，安全公司 Claroc 的研究显示，SpaceXSI 旗下的编码智能体 Grok Build 通过分享链接泄露了大量用户数据，其中部分属于 SpaceXSI 自身。Claroc 联合创始人兼 CTO Asaf Aprozper 称，通过被动 DNS 检索共发现 43,601 个以 grok.me 结尾的链接，其中超过 35,000 个（接近 95%）为公开状态，点击即可打开对应应用及其存储的全部数据。

报道称，泄露内容涉及内部商业计划、广告提案、体检结果、邮轮后厨检查表、员工姓名与工号等。Claroc 表示，其中 24 个应用由 SpaceXSI 自身构建，包含标注为机密的销售人员入职计划、覆盖 594 个客户账户的销售区域图等。Claroc 于周日通知 SpaceXSI，在未获回应后通过 X 平台公开提醒。Ars Technica 就此事发出询问邮件后数小时内，SpaceXSI 开始移除相关链接，目前这 24 个链接均返回“app not found”。

背景与影响

报道指出，问题出在链接随机性的位置：Grok Build 把随机词组放在域名左侧（如 cinder-crane-sand-frost.grok.me），使这些子域名在被动 DNS 查询中可见并可被枚举；而 Google Docs、Claude 公开 artifacts、ChatGPT 分享对话与 Gemini 的分享链接把随机部分放在路径中，DNS 无法看到。Aprozper 称，测试显示 Grok Build 默认将链接设为“任何持有链接的人”可访问，用户可改为“受邀用户”或“仅自己”。

Claroc 称受影响方还包括财富 500 强企业、一家国防承包商、一家美国海军后勤支持承包商、一家医疗企业、一家邮轮公司等，并正在逐一通知。Cursor 方面回应称 Grok Build 应用“默认私密，除非创建者选择分享”，该说法与 Aprozper 的测试结果不一致。Aprozper 还表示，Lovable、Bolt、Replit 等平台同样为每个应用分配独立网址，存在类似暴露风险，但 Grok 上发现的敏感企业数据最多。

限制与来源

上述数字与受影响机构清单均来自 Claroc 的单方面研究及 Ars Technica 的报道，尚未获 SpaceXSI 官方确认；相关链接当前状态与默认设置也可能随产品更新变化，请以官网当前信息为准。本文不构成任何安全处置或合规建议。来源：Ars Technica，作者 Dan Goodin，2026 年 11 月 10 日。