马斯克 Grok Build 曝出权限漏洞，SpaceX、特斯拉工资绩效与患者隐私信息泄露

安全公司 Claroc 发现马斯克旗下 Grok Build 存在严重的默认权限配置漏洞，大量用 Grok Build 搭建的应用无需登录、不用授权就能直接访问，其中包含 SpaceXSI、特斯拉内部绩效薪酬资料，还有 ICU 患者医疗隐私、明文账号密码等敏感数据，总共排查出 43601 个 Grok Build 应用链接，超 3.5 万个处于公开裸奔状态，连马斯克自家员工创建的 24 个内部应用也没能幸免，里面标注机密的销售计划、客户地图全部对外暴露，这个漏洞本质是平台默认权限逻辑出错，用户新建应用时默认不是私有，很多使用者没有手动修改权限，直接把内部数据放进 Grok 搭建的工具里，直到安全机构上报、媒体跟进之后，SpaceXSI 才紧急下线自家 24 个泄露应用，但大量第三方用户搭建的应用依旧存在泄露风险。下面从泄露内容清单、漏洞成因、事件时间线、风险范围、整改动作、遗留问题分开讲清楚。

一、本次泄露的敏感信息清单

1. SpaceXSI（SpaceX 与 xAI 合并主体）内部资料
2. 特斯拉服务中心绩效工资数据
3. 医疗隐私数据
4. 其他高危信息

包含机密的员工入职计划、594 个客户的销售区域地图、广告提案、内部工具访问地址，一共 24 个由内部员工搭建的应用。

一份技师评分仪表盘，直接暴露 22 名技术人员姓名、工作效率、奖金核算规则和绩效结果。

ICU 患者化验报告、影像检查记录、呼吸机监测数据，还有一家建筑公司 3784 份员工体检档案。

企业员工明文账号密码、美国海军后勤承包商人员名单、邮轮船员身份信息。

二、漏洞产生的底层原因

1. Grok Build 默认权限配置错误
2. 链接可被批量探测
3. 缺少敏感内容前置拦截
4. 权限变更没有强提醒

平台新建应用默认不是私有模式，生成的访问链接任何人都可以打开，没有强制登录校验，用户很容易忽略权限修改。

安全机构通过被动 DNS 方式批量扫描 Grok Build 部署链接，不用复杂破解，就能枚举大量线上应用。

用户在应用里上传工资表、病历、密码等敏感内容时，平台没有告警、拦截提醒。

很多使用者以为只有自己分享出去的链接才会被访问，不清楚默认状态全网可访问。

三、事件完整时间线

1. 11 月 8 日：安全公司 Claroc 完成漏洞核查，向 SpaceXSI 发送预警通知，暂未收到对方回应。
2. 11 月 11 日：Ars Technica、IBT 等外媒发布报道，公开 Grok Build 泄露事件。
3. 媒体问询之后，SpaceXSI 紧急下线自家 24 个存在泄露的内部应用。
4. 后续：大量第三方用户搭建的 Grok 应用还留在线上，Claroc 主动联系各个受影响企业、机构进行提醒。

四、Grok Build 是什么，和普通 Grok 聊天机器人区别

五、已经采取的整改动作

1. 紧急下架 SpaceXSI 内部 24 个泄露应用，阻断自家机密继续访问。
2. 官方表态说明产品设计初衷是默认私有，正在排查权限逻辑缺陷。
3. 安全团队通知已经发现的受影响主体，提醒自行核查和下线应用。
4. 后台对 Grok Build 新增部署项目增加权限弹窗提示。

六、还没有解决的遗留风险

1. 海量第三方用户搭建的应用还在线，很多企业不知道自己的数据已经泄露。
2. 已经被爬虫、第三方保存的敏感数据，无法直接撤回。
3. 没有公开完整的权限修复方案，老项目不会自动切换为私有，需要用户手动修改。
4. 缺少历史泄露链接的失效、回收机制，旧链接依然可以被访问。

【相关 FAQ】

问题 1：马斯克 Grok Build 泄露事件，SpaceX 和特斯拉泄露了哪些内容？

回答 1：马斯克 Grok Build 漏洞事件里，SpaceXSI 泄露了机密入职计划、客户销售地图；特斯拉泄露了服务中心 22 名技师的姓名、工作效率、奖金绩效数据，这些信息都放在员工用 Grok Build 搭建的网页工具里，免登录就能查看。

问题 2：Grok Build 泄露患者隐私，这次漏洞和之前 Grok 对话分享泄露是一回事吗？

回答 2：不是一回事，这次是 Grok Build 低代码搭建工具的默认权限漏洞，搭建出来的网页应用默认公开；之前的泄露是 Grok 聊天分享链接被搜索引擎抓取，产品模块、漏洞根源完全不同。

问题 3：Grok Build 为什么会出现默认公开、泄露工资绩效这类内部数据的问题？

回答 3：Grok Build 新建应用时权限配置出现缺陷，默认不是私有状态，很多员工上传绩效表、客户资料、病历搭建工具，没有手动修改权限，外部人员拿到链接就能直接读取里面全部敏感数据。

问题 4：Grok Build 泄露事件曝光之后，马斯克旗下公司做了哪些处置？

回答 4：在媒体跟进报道之后，SpaceXSI 紧急下线自家 24 个存在泄露的内部 Grok Build 应用，同时对外称产品设计目标是默认私有，正在排查权限缺陷，不过大量第三方用户搭建的泄露应用还没有统一清理。

【参考资料】

[2026-11-12]（马斯克 Grok 泄露自家机密！SpaceX 特斯拉工资绩效全曝光，患者隐私也没逃过）凤凰网科技

[2026-11-11]（Grok Build link-sharing flaw exposes sensitive data across thousands of live applications）Ars Technica

[2026-11-11]（Elon Musk's Grok Exposed 3,784 Medical Exams and Navy Contractor Data）IBTimes UK

[2026-11-11]（A Grok Vibe-Coding Agent Leaked Sensitive SpaceXSI Data）Engadget

【免责声明】

1. 本次 Grok Build 泄露事件信息来自安全公司 Claroc 与外媒公开报道，漏洞根因、受影响范围以 SpaceXSI、xAI 后续官方调查结论为准。
2. 事件涉及的医疗、薪酬、人员信息属于隐私敏感内容，本文仅做技术事件科普，不支持、不引导访问相关泄露链接。
3. Grok Build 权限缺陷属于产品配置漏洞，不代表 Grok 全部功能都存在同类隐私风险，不同模块安全机制相互独立。
4. 本文内容不构成网络安全、企业数据治理的合规标准，企业使用 AI 低代码工具，需要自行单独做权限审计、敏感数据筛查。