Grok 编程工具分享链接能被公开检索，SpaceX 自己的销售资料也漏了

安全公司 Claroc 发现，SpaceX 旗下的 AI 编程工具 Grok Build 存在漏洞，导致数千名用户的敏感资料可以被外人翻到，连 SpaceX 自己的内部文件也没能幸免。

问题出在分享链接的生成方式。Grok Build 用 4 个随机单词拼出链接标识，随机性最高约 38 比特，看着不算弱；但它把这些标识放在域名前面，而不是像谷歌 Gemini 那样放在域名后面的路径里。结果，被动 DNS 服务会把这些子域名收集起来，存进公开可查的数据库。Claroc 把这类页面叫“GhostShares”——你根本没收到分享链接，也能自己找上门。

泄露的内容不轻：一家医院集团、一个消防部门的资料，SpaceX 自己的新员工入职计划、覆盖 594 个重点客户的销售区域图、8 份 X 平台广告提案、4 个仍在使用的广告账户看板，以及两份品牌安全手册。这些应用里只有一个设了密码。另外还有 6 家世界 500 强和 26 家千人以上企业受影响，Claroc 估计约 2% 的应用含有足以评为高危或严重级别的信息。

通报之后，部分企业很快做了处理。SpaceX 则是在 Claroc 于 X 上点名马斯克和另一名高管后才回应，随后下架了 24 个暴露内部资料的自家应用——但对其他用户和机构仍可公开访问的应用，它没有采取同样动作。