Grok 生成应用存在权限漏洞，大量企业及用户隐私数据泄露

安全公司 Claroc 发现超 3.5 万个用 Grok 构建的应用无需登录即可访问，大量企业机密、个人隐私数据直接暴露，涉及 SpaceXSI、X、特斯拉等多家机构，甚至包含 ICU 患者敏感信息、企业员工明文账户密码等。经排查，这些应用地址可通过被动 DNS 数据库批量获取，且 Grok 默认将发布应用的访问权限设为任何持有链接的人，同时其生成的应用代码存在权限校验逻辑错误，会先将登录者加入团队再校验成员身份，导致未授权用户可随意访问甚至修改数据。对照测试显示 ChatGPT 应用默认分享权限为仅限本人，安全性更优。事件曝光后，涉事的 SpaceXSI 和 X 员工创建的应用已全部下线，但大量其他用户创建的应用仍可公开访问，平台尚未明确是否会主动通知其他受影响客户。