Grok Build分享链接漏洞致SpaceXSI内部资料及用户数据泄露
Miranda 网络安全公司Claroc近日披露，SpaceXSI旗下的AI编程工具Grok Build存在安全漏洞，可导致数千名用户的敏感数据被外部访问，SpaceXSI自身的内部资料也出现在泄露范围内。
该问题与Grok Build生成分享链接的方式有关。工具会使用四个随机单词组成链接标识，随机性最高约38比特，但这些标识被放置在域名之前，而不是像部分同类产品那样放在网址路径中。这一差异使被动DNS服务能够收集相关链接，并将其记录在公开可检索的数据库中。Claroc将这类页面称为“GhostShares”，因为访问者即使没有收到分享链接，也可能自行找到并打开页面。
Claroc介绍，泄露的SpaceXSI内部资料包括新员工入职计划、涉及594个重点客户的销售区域分布图、8份X平台广告提案、4个仍在使用的广告客户账户管理看板，以及两份X品牌安全操作手册，其中仅一个应用设置了密码。除SpaceXSI外，还有6家《财富》世界500强企业和26家员工超过1000人的企业受到影响。Claroc估计，约2%的应用包含足以被评为高危或严重级别的敏感信息。
发现漏洞后，Claroc向SpaceXSI及受影响企业进行了通报，部分企业迅速采取措施防止信息继续外泄。SpaceXSI在Claroc于X平台公开点名公司高管后作出回应，下架了24个暴露内部资料的自家应用。不过，对于其他Grok用户和机构仍可被公开访问的应用，SpaceXSI并未采取同样处理。
