™Grok 搭建的 3.5 万个应用可公开访问，连 SpaceX 自家资料也外泄
Claroc 11 月 10 日报告称，Grok Build 搭建的 3.5 万个应用无需登录可公开访问，其中 24 个属于 SpaceX 与 X 员工；链接随机词放在域名里，可被被动 DNS 查到。
发生了什么
Claroc 11 月 10 日发布的报告《GhostShares 2》称，研究人员通过被动 DNS 服务列出 43,601 个 grok.me 域名地址，逐一尝试 43,551 个，其中 37,571 个仍在线，35,578 个（94.7%）无需登录即可打开应用及其中数据，其余 1993 个返回 401 拒绝访问。Grok Build 是 SpaceX（xAI 与 SpaceX 合并后的公司）旗下 Grok 助手的搭建模式，用户用对话描述需求即可生成应用并发布到独立的 grok.me 地址。
报告称，24 个公开应用由 SpaceX 与 X 员工搭建，含一份标注保密的新企业销售入职计划、一张覆盖 594 个客户的销售区域地图、内部销售工具地址与给美国联邦机构的广告提案。其他示例包括一家秘鲁建筑公司的职业健康看板（含 3784 名工人体检记录）、一家特斯拉服务中心的评分表（列出 22 名技师的生产力与奖金状态）与一家挪威—芬兰防务集团美国工厂的爆炸物装载板。Claroc 称已确认 30 家机构受影响，其中 6 家为财富 500 强，未公开点名。
Claroc 称 11 月 8 日通过 security.txt 中的地址向 SpaceX 通报，11 月 9 日补发其余 22 个员工应用的细节，未获回复；Ars Technica 发去问询后几小时内，SpaceX 开始撤下自家 24 个应用的链接，截至报道发布时 24 个均返回“应用不存在”。SpaceX 方面称，应用在创建者选择分享前保持私密，员工账户默认仅限本人；其他用户的公开应用截至 11 月 10 日仍可访问。
关键事实
- 规模：被动 DNS 列出 43,601 个 grok.me 地址；尝试 43,551 个，37,571 个在线，其中 35,578 个（94.7%）无需登录即可打开
- 自家应用：24 个由 SpaceX 与 X 员工搭建，含保密入职计划、594 个客户的销售地图与联邦机构广告提案
- 他人数据：秘鲁建筑公司 3784 名工人体检记录、特斯拉服务中心 22 名技师评分表、防务集团美国工厂爆炸物装载板
- 机制：Grok 把随机词放在子域名里（如 cinder-crane-sand-frost.grok.me），被动 DNS 会记录这些域名；谷歌文档、Claude Artifacts 与 ChatGPT 分享链接把随机部分放在路径里，DNS 看不到
- 通报：Claroc 11 月 8 日通报 SpaceX，11 月 9 日补发细节，未获回复；Ars Technica 问询后几小时内，SpaceX 撤下自家 24 个应用
- 现状：截至 11 月 10 日报道发布时，其他用户的公开应用仍可访问；SpaceX 称应用在创建者分享前保持私密
为什么重要
分享链接的随机部分放在子域名里会被被动 DNS 记录，3.5 万个应用因此可被枚举；连做模型的公司自家销售资料也走了同一条分享路径。
相关公司xAI · 马斯克
今天能薅OpenAI Codex 学生额度：100 美元免费额度HIMIAO选购 →订阅 HIMIAO视界
不用注册 · 随时退订推送通知
早报出来时，手机或电脑上弹一条提醒。不用留邮箱。