安全厂商 Claroc 对外披露，SpaceXSI 旗下 AI 开发工具 Grok Build 存在权限与链接索引漏洞，大量通过 Grok Build 创建的应用页面没有做好访问校验，哪怕不是分享对象，也能通过被动 DNS 收录找到链接直接访问，就连 SpaceXSI 自家员工创建的内部应用也被包含在内，造成内部资料泄露，研究人员一共扫描了 43551 个 Grok 应用地址，其中 35578 个无需登录就能打开，占比接近 95%，里面除了普通小游戏、工具页面之外，还有企业销售计划、客户清单、内部提案、员工信息这类涉密内容，其中就有 SpaceXSI 的入职规划、客户分布地图、面向合作方的内部方案，另外还有医院、消防部门以及其他机构的隐私数据，这个漏洞的核心问题不是链接容易被猜出来，而是 Grok 的随机链接放在子域名位置，会被 DNS 记录自动抓取，同时应用登录校验逻辑顺序出错，先放行访问再校验权限，就算是陌生账号也能查看甚至修改里面的数据，事件曝光之后，SpaceXSI 紧急对公开应用做下线、权限加固，调整分享默认权限，修复校验逻辑，不过本次事件也给使用 Grok Build 做内部业务、托管敏感数据的开发者敲响警钟，在权限补丁全部落地前，不建议存放机密、客户隐私、账号密钥等内容。
漏洞核心原理清单
- 链接结构问题：Grok Build 生成的随机标识放在子域名，被动 DNS 服务会自动抓取、记录这些地址，外人可以批量检索。
- 权限校验逻辑缺陷：登录校验顺序颠倒，先允许进入应用，再判断用户是否具备访问权限，校验失效。
- 默认分享策略宽松：新建应用默认对外可访问，很多员工没有手动修改权限，直接上传内部资料。
- 无访问审计隔离：没有独立的访问日志和告警，资料被外部访问时很难第一时间发现。
正常权限模型和 Grok Build 漏洞权限模型对比
| 对比项 | 标准安全分享模型 | Grok Build 本次漏洞模型 |
|---|---|---|
| 链接索引 | 链接放在路径，不会被 DNS 批量收录 | 随机标识在子域名，被动 DNS 可抓取 |
| 校验顺序 | 先验证身份权限，再加载页面 | 先放行进入，再校验权限，校验失效 |
| 默认权限 | 新建应用默认仅自己可见 | 新建应用默认开放访问，需要手动关闭 |
| 未授权访问 | 拿到链接也需要登录授权 | 拿到链接直接访问，部分还支持修改数据 |
| 风险特征 | 链接泄露才会有风险 | 链接会被第三方服务自动收集，形成批量泄露 |
事件处置操作步骤（企业 / 开发者侧）
- 自查所有 Grok Build 应用，核对是否存放客户资料、内部方案、密钥、员工信息。
- 把不需要对外公开的应用，权限修改为仅创建者可见，关闭公开分享。
- 检查是否存在明文密码、数据库密钥、Token，一旦泄露立刻轮换密钥。
- 开启访问日志，持续监控陌生 IP 访问记录，配置异常访问告警。
- 等待官方完成漏洞修复，确认权限校验逻辑更新之后，再重新上线内部业务应用。
- 重要涉密业务改用其他权限管控更完善的平台，不把核心机密放在 Grok Build 应用内。
事件影响与后续限制
- 影响范围：超 3.5 万个 Grok 应用无登录访问，包含 SpaceXSI、X、特斯拉、医疗机构、消防单位等多方敏感内容。
- 直接损失：SpaceXSI 销售客户地图、内部入职方案、广告提案被公开；部分机构的患者病历、员工绩效信息外泄。
- 修复方向：调整子域名链接机制、重写登录校验流程、修改新建应用默认权限、增加 DNS 侧防护。
- 现存风险：历史已经被 DNS 收录的链接，就算后台关闭分享，缓存记录还会存在一段时间，依然有被检索到的可能。
【常见问题】
问题 1：Grok Build 漏洞致 SpaceXSI 内部资料暴露，这个漏洞是怎么被发现的？
回答 1：Grok Build 漏洞致 SpaceXSI 内部资料暴露，是安全公司 Claroc 在批量扫描 Grok 生成应用的访问权限时发现，研究人员通过 DNS 索引找到大量未做权限保护的应用，其中包含 SpaceXSI 员工创建的内部页面。
问题 2：Grok Build 漏洞致 SpaceXSI 内部资料暴露，漏洞是不是因为链接容易被暴力破解？
回答 2：不是，Grok Build 漏洞致 SpaceXSI 内部资料暴露，核心不是猜链接，而是随机标识放在子域名，被动 DNS 会自动收录链接，叠加登录校验顺序错误，导致外部人员直接访问内容。
问题 3：Grok Build 漏洞致 SpaceXSI 内部资料暴露，哪些类型的资料被泄露出来？
回答 3：Grok Build 漏洞致 SpaceXSI 内部资料暴露，泄露内容包含 SpaceXSI 的员工入职计划、客户账户地图、内部广告提案，同时还有医院患者检查记录、员工绩效、明文账号密码等隐私数据。
问题 4：Grok Build 漏洞致 SpaceXSI 内部资料暴露，开发者现在使用 Grok Build 要注意什么？
回答 4：Grok Build 漏洞致 SpaceXSI 内部资料暴露，开发者使用 Grok Build 时，内部敏感资料不要上传，所有应用手动修改权限，及时轮换已经泄露的密钥，等待官方权限补丁全部上线。
【参考资料】
[2026-11-12]（Grok Build 漏洞致 SpaceXSI 内部资料泄露，大量应用免登录访问）凤凰网科技
[2026-11-12]（马斯克 Grok 泄露自家机密，SpaceX、特斯拉工资绩效全曝光）36 氪
[2026-11-11]（大水冲了龙王庙？AI 编程工具 Grok Build 漏洞导致 SpaceXSI 敏感资料暴露）新浪科技
[2026-11-11]（Claroc 安全报告：Grok 应用 GhostShares 无授权访问风险）IT 之家
【免责声明】
本文内容仅为网络安全资讯科普，Grok Build 漏洞致 SpaceXSI 内部资料暴露事件相关漏洞细节、受影响范围、修复进度以 SpaceXSI、Claroc 官方公告为准；漏洞风险会随版本修复发生变化，本文不构成企业业务部署、数据托管的安全决策建议。