SpaceXSI的AI工具分享链接可被公开检索，数千用户数据泄露

网络安全公司Claroc披露，SpaceXSI旗下AI编程工具Grok Build生成的应用分享链接可通过部分DNS服务被公开检索，导致数千名用户的敏感数据泄露，SpaceXSI内部资料也包括在内。Claroc向Ars Technica表示，受影响者包括一家医院集团、一家消防部门以及SpaceXSI员工。

Claroc将这些页面称为“GhostShares”：即使没有收到分享链接，外人也能自行找到并访问。问题出在链接标识的放置方式。Grok用4个随机单词生成标识，随机性最高38比特，但把标识放在域名前，而不是像谷歌Gemini那样放在域名后的网址路径中；被动DNS服务因此能收集并公开索引这些链接。

泄露的SpaceXSI内部资料包括新员工入职计划、覆盖594个重点客户的销售区域分布图、8份X平台广告提案、4个仍在使用的广告客户账户管理看板，以及两份X品牌安全操作手册。其中只有一个应用设置了密码。Claroc还称，6家《财富》世界500强企业和26家员工超过1000人的企业受到影响，约2%的应用含高危或严重级别敏感信息。

Claroc通报后，SpaceXSI在Claroc于X平台点名马斯克和另一名高管后才回应，随后下架24个暴露内部资料的自家应用；对于其他Grok用户和机构仍可公开访问的应用，SpaceXSI未采取同样措施。