安全公司 Claroc 研究员 Asaf Aprozper 于 2026 年 11 月 10 日发布名为 GhostShares 2 的调查报告，揭开了 SpaceXSI（前身为 xAI）旗下 AI 编程工具 Grok Build 的安全底裤。在 Claroc 扫描到的 37,571 个在线应用中，高达 35,578 个应用（占比 94.7%）无需登录即可直接打开。这场泄露不仅让医院 ICU 患者记录、企业管理员明文密码在公网裸奔，连 SpaceXSI 和 X 员工自己搭建的 24 个内部应用也一并暴露。当非技术人员用自然语言几分钟拼出一个业务系统时，默认公开的交互设计与漏洞百出的 AI 代码，正把零门槛开发变成零门槛泄密。
刺向自己的回旋镖与双标灭火
Claroc 在调查中共发现 43,601 个主机名，实际尝试连接了 43,551 个应用地址（两者相差的 50 个未作解释）。在存活的 37,571 个应用里，绝大多数是计算器、落地页或小游戏，但约有 10% 包含内部业务材料，约 2% 性质恶劣。研究员估算共有 650 至 800 个应用装满了私人或机密数据。
最讽刺的受害者正是 Grok 的制造者自己。泄露的 24 个内部员工应用中，赫然躺着一份划分了 6 个区域、涵盖 594 个战略客户及销售管线优先级的区域地图，一份包含内部系统地址与 19 个聊天频道的企业销售入职计划，以及 8 份 X 广告提案——其中一份针对美国联邦机构的提案甚至标着机密字样。
外部机构的损失同样惨重。除 SpaceXSI 与 X 外，共有 30 家机构（含 6 家财富 500 强企业）卷入其中。已确认的泄露包括一份含有 ICU 患者化验值、医学影像和呼吸机状态的医疗简报，某医院集团超 3,500 名员工的名单，以及一份消防局排班表。
比漏洞本身更扎眼的是官方的应急温差。Claroc 于 2026 年 11 月 8 日至 9 日向 SpaceXSI 披露漏洞并提交员工样本，11 月 10 日公开发布报告。在这 48 小时内，SpaceXSI 迅速下架了自家的 24 个员工应用，却将普通用户和外部企业的敏感应用继续留在公网上，迫使 Claroc 自己出面逐一通知受害机构。
隐蔽性幻觉是如何破灭的
许多业务人员敢把真实数据放进 Grok 应用，是因为掉进了链接隐蔽性的认知陷阱。在 Grok Build 模式下，用户通过聊天描述需求，Grok 编写代码，点击发布后应用就会挂载到 grok.me 域名下。SpaceXSI 早在 2026 年 8 月 19 日发布 Grok Build 官方公告时，演示配图里的发布面板就展示着知道链接的任何人可访问；在实际的付费测试账户中，这一选项也是默认预先勾选的。
SpaceXSI 回应称，应用在分享前是私密的，发布需要走完包含法律声明在内的多个步骤，且内部员工账户默认设为仅自己可见。但 24 个内部应用的泄露直接戳破了这套说辞——如果最后一步的弹窗默认引导公开，或者员工为了协作顺手改掉设置，多点几次鼠标根本挡不住泄密。
在 grok.me 的技术架构下，知道链接即可访问等同于全网公开可查。因为每个发布的应用都会分到一个独立的 grok.me 子域名，只要创建者自己打开看一眼，这次域名解析记录就会进入商业被动 DNS 数据库。任何人只要在这些数据库里按规则搜索，就能拉出一整张应用清单，根本不需要猜中网址。
比忘设密码更可怕的伪安全代码
如果说默认公开还能怪用户粗心，Grok 自己写出的鉴权代码则是实打实的技术灾难。非技术背景的业务人员往往以为，只要让 AI 加上密码框或第三方登录，数据就锁进保险箱了。
事实恰恰相反。在一个由承包商搭建的考勤应用中，Grok 直接把 18 个明文密码（包含管理员账户）硬编码进了浏览器下载的前端 JavaScript 脚本里，任何人打开网页源码就能一眼看穿。
当 AI 连登录和权限都分不清，加把锁不过是给陌生人自动发钥匙。
更荒诞的逻辑出现在 Claroc 自己构建的两个测试应用里。第一个通讯录应用生成了后台数据库，却压根没写登录限制，匿名访客可以直接往里添加记录。第二个销售团队客户列表应用中，Grok 主动集成了 Google 和 X 账号登录，但它的代码逻辑是先把每一个通过登录验证的外部访客直接加入团队，然后再去检查该用户是不是团队成员。这意味着，世界上任何一个拥有 Google 账号的陌生人，只要点一下登录，就能自动获得团队权限，随意读取、修改甚至删除整个客户数据库。大模型为了优先保证代码跑通、不报错，把身份认证（你是谁）和权限控制（你能干什么）彻底搞混了。
- 风险.企业内部的销售、医护或行政人员绕过 IT 部门，用真实业务数据喂给 AI 生成工具并直接上线，正在形成失控的新型影子 IT；一旦前端硬编码的管理员密码被扫出，攻击者就能顺藤摸瓜打穿企业内网。
增长优先还是默认安全的赛道分化
这也是 SpaceXSI 围绕 Grok 栽的第三个隐私跟头。2025 年 8 月，福布斯曾在 Google 搜索中发现了超 37 万条公开分享的 Grok 聊天记录；2026 年 7 月，终端工具 Grok Build 又被曝出未经允许将包含 SSH 密钥和密码数据库的用户文件上传至公司服务器；加上此次因色情深伪内容被爱尔兰数据保护机构调查是否忽视默认隐私保护，SpaceXSI 在产品迭代中重增长、轻安全的习气已成惯性。
把视野拉宽，用自然语言写代码的 Vibe Coding 赛道普遍面临传播增长与默认安全的结构性冲突。平台希望用户做出的应用能像病毒一样在社交网络转发，因此倾向于把公开分享设为默认路径：
- Meta 与 Anthropic 的同类隐患：Claroc 在 2026 年 10 月用同样的被动 DNS 方法，挖出了 Meta 旗下智能体 Muse 约 6,800 条分享对话；Anthropic 的 Claude 在 2026 年 7 月也曾发生分享对话与 Artifacts 应用被搜索引擎收录的事件。
- 代码缺陷的普遍性.安全厂商 Ascertify 在 2026 年 9 月审查了 AI 编程平台 Lovable 的 70 个公开代码库，发现 28 个应用（40%）存在数据库策略过宽或缺少身份验证等高危缺陷（注：这与 Grok 94.7% 的免密打开率统计维度不同，不可直接对比谁更不安全，且 Claroc、Ascertify 与 OX Security 均为出售安全方案的商业厂商，其报告属于厂商研究而非标准化第三方认证）。此外，OX Security 在 2025 年 11 月的测试中也发现，Bolt、Lovable 和 Base44 生成的 Wiki 应用存在存储型跨站脚本（XSS）漏洞，且 Bolt 免费版仅支持公开部署。
- 收紧防线的标杆动作.并非所有平台都在放任。在 Claroc 的对比测试中，ChatGPT 新建应用在分享时默认设为仅自己可见，哪怕子域名进了 DNS 数据库，外人打开也是一堵墙；Lovable 目前已在发布环节加入了安全扫描；Replit 则在 2026 年 5 月 6 日将私有发布功能从高阶企业版下放至 Starter 和 Core 用户，在未授权请求触达应用代码前直接由网关拦截。
对于正在评估或已经放开 AI 编程工具的企业 IT 负责人来说，不能再指望业务员工在弹窗里主动勾选仅自己可见。接下来最值得盯紧的变量有两个：一是 SpaceXSI 会不会放弃独立子域名方案、改用不可枚举的共享主机随机路径，并把默认权限锁死在仅自己可见；二是那 30 家收到泄露通知的机构，是否会在合规罚单的压力下，在企业防火墙内彻底封禁 grok.me。