SpaceXSI（原 xAI）旗下 Grok 的”Build”模式，可以按聊天描述直接写出网页应用，点”发布”就分到一个 grok.me 下的独立地址。安全公司 Claroc 最新报告称，它检查的 37571 个仍在线的此类应用中，有 35578 个无需登录即可访问，比例为 94.7%。
暴露的内容里，有患者化验值、医院员工名单，也有 SpaceXSI 和 X 员工自己做的内部文件。
两处默认设置叠在一起
Claroc 把原因归到发布环节。在它用于测试的付费账号上，发布对话框里”Anyone with the link（任何拿到链接的人）“是预先勾选好的。
地址也不难找。每个应用都有自己的子域名，第一次被访问后，名字就会进入商业 passive DNS 数据库（记录域名解析历史的数据库），这些库可以按规则批量检索。默认公开，加上地址可被枚举，“拿到链接才能看”这层保护基本落空。
漏出来的都是什么
Claroc 称，大部分公开应用是小游戏、落地页和计算器，约十分之一含敏感材料、内部业务数据或个人信息，约 2% 属于特别严重的情况。
已确认的案例包括：一份 ICU 交接简报里写着病人的化验数值；一家医院集团 3500 多名员工的名单；一个消防部门的排班表；一个工时表应用的源码里写着 18 个账号的明文密码。除 SpaceXSI 和 X 外，受影响机构有 30 家，其中 6 家是《财富》500 强，Claroc 没有公布名字。
员工那 24 个应用里，有一份新入职企业销售的保密培训计划，列出内部系统地址和 19 个内部聊天群组；一张把 594 个战略客户分进六个销售区域并排好优先级的地图；还有 8 份 X 广告提案，其中一份面向美国联邦机构，标注为保密。
Grok 写的权限代码也有坑
Claroc 用自建的两个测试应用发现了另一类问题。一个联系人列表应用生成的数据库没有登录，匿名访客可以直接往里写条目。
另一个是销售团队的客户列表。Grok 自己加上了 Google 和 X 登录，但代码先把每个登录成功的用户加进团队，然后才检查成员身份，结果一个外部 Google 账号就能读、改、删记录。Claroc 称，写入和删除测试只在自己的应用上做过。
同类产品的默认值差在哪
横向看，“分享”按钮的默认值决定了大半结果。Claroc 用 ChatGPT 做了对照：新建应用分享时默认是”Only me”，地址同样会出现在 DNS 数据里，但打开后只有所有者能用。Grok 其实也有”Only you”选项，测试中切过去就能挡住外部访问，只是没设成默认。
分享功能出事也不止 Grok。Claroc 用同样的 passive DNS 方法，10 月找到约 6800 条 Meta 智能体 Muse 的分享对话；今年 7 月，Anthropic 的 Claude 分享对话和 Artifacts 也出现在搜索引擎里，其中包括用户做的应用。对 Grok 自身，这至少是第三起隐私事件：2025 年 8 月，Forbes 在谷歌搜索里找到 37 万多条分享的 Grok 对话；2026 年 7 月，终端工具 Grok Build 被曝未经询问上传用户文件，包括 SSH 密钥和密码库。
公司怎么说
SpaceXSI 的回应只有几句：应用在创建者分享前是私有的，发布要走包括法律提示在内的多个步骤，员工账号默认是”Only you”。Claroc 反驳说，只要最后一步仍预选”Anyone with the link”，多点几下并不能拦住谁；24 个员工应用也说明，员工账号的默认值没起到多少作用。
SpaceXSI 已经下线这 24 个员工应用，其他用户和机构的公开应用仍在线。公司没有承诺联系受影响的所有者，Claroc 目前自己逐一通知。它提出的改法有三条：默认改成”Only you”并在发布前显示谁能访问；应用带数据库却没登录时给出警告；用共享主机下难猜的路径替代独立子域名。
Claroc 本身卖 AI 生成应用的安全产品，上面的比例和案例目前只有它一家的口径，还没有第三方复核。
参考来源：Claroc 安全报告、The Decoder、CocoLoop；94.7% 比例、受影响机构数与员工应用数均为 Claroc 口径，SpaceXSI 回应以其对研究方的答复为准。