安全公司 Claroc 对外披露，SpaceXSI 的 Grok Build 工具存在链接访问控制缺陷，大量用这个工具搭建出来的 AI 应用不用登录就能直接打开，其中就包含 SpaceXSI 和 X 员工创建的内部应用，把自家的销售客户资料、内部入职方案、广告提案这类敏感机密直接暴露在互联网上。出现这个问题，根源是 Grok Build 生成分享链接的权限机制设计有漏洞，虽然链接用随机词串，但是存在被爬虫、DNS 扫描发现的可能，平台没有做好默认访问鉴权，员工在用这个工具做内部业务、上传企业资料的时候，默认直接变成公开可访问状态，员工自己都没意识到。事件曝光之后，SpaceXSI 和 X 相关的 24 个泄露内部资料的应用已经紧急下线，同时第三方机构里也有不少企业、医院、公共部门的敏感信息跟着外泄，包含患者病历、员工密码、人员排班等内容。后续开发者和企业使用 Grok Build 的时候，要主动给应用开启密码保护、设置访问白名单，不要直接上传内部机密文件，平台这边也需要修复访问权限逻辑，收紧默认公开的策略，避免再次出现 AI 工具把内部资料直接放到公网的情况。
一、事件核心数据清单
- 安全公司一共扫描 43551 个 Grok Build 应用地址
- 在线可访问应用：37571 个
- 无需登录就能访问的应用：35578 个，占比 94.7%
- 预估包含隐私、敏感数据的应用数量：650~800 个
- 高风险敏感内容应用占比：约 2%
- 本次被曝光的 SpaceXSI、X 员工创建应用数量：24 个，已经全部下线
- 连带受影响其他机构：30 家，其中 6 家是财富 500 强企业
二、泄露的敏感信息分类
| 信息归属方 | 泄露内容 |
|---|---|
| SpaceXSI、X | 员工入职计划、594 个客户销售区域地图、广告客户提案、品牌安全文档、内部系统地址 |
| 医疗机构 | ICU 患者化验记录、影像报告、呼吸机使用数据 |
| 其他企业 | 员工名册、明文账号密码、求职者联系方式、内部业务文档 |
| 公共部门 | 消防员排班信息、内部调度资料 |
三、漏洞形成原因说明
- 默认权限机制问题：Grok Build 生成的应用链接默认是公开，没有强制登录、密码校验，很多员工不知道这个默认规则
- 链接可被扫描发现：链接不是完全隐藏，DNS 侧、爬虫可以批量抓取到这些应用地址，不是只有拿到链接的人才能访问
- 内部使用流程缺失：员工直接在这个开发工具里导入内部业务资料，没有内部保密审批和敏感内容拦截
- 缺少事前风险提醒：上传资料的时候没有弹窗提示这个应用会对外公开，缺少风险预警
四、使用 Grok Build 的风险规避步骤
- 新建应用的时候，手动开启密码保护或者访问身份验证，不要保留默认公开设置
- 内部机密、客户资料、患者隐私、账号密钥等内容，禁止上传到 Grok Build
- 搭建完成后，手动测试链接，用无痕模式打开验证是否需要登录
- 定期清理不再使用的 Grok 应用，及时删除含有业务数据的项目
- 企业内部出台规范，禁止员工直接用该工具承载内部涉密文档
【相关 FAQ】
问题 1：SpaceXSI 的 Grok Build 泄露事件，是不是马斯克自家 AI 第一次把 SpaceXSI 机密摆上网？
回答 1：不是，此前 Grok Build 就被发现会静默上传本地代码仓库，还出现过 API 密钥泄露事件，这次是因为访问权限漏洞，大量包含 SpaceXSI 内部业务机密的应用直接公开可访问，属于又一次比较严重的数据暴露事故。
问题 2：SpaceXSI 旗下 Grok Build 为什么会出现自家机密被放到网上的情况？
回答 2：核心是 Grok Build 的访问控制设计缺陷，工具生成的 AI 应用默认公开、不需要登录，链接还能被外部扫描抓取，SpaceXSI 员工在上面搭建内部应用上传机密资料，没手动修改权限，导致 SpaceXSI 的内部资料直接对外暴露。
问题 3：SpaceXSI 的 Grok Build 出事之后，所有被泄露的应用都已经处理完毕了吗？
回答 3：SpaceXSI 和 X 员工创建的 24 个涉机密应用已经紧急下线，但还有大量第三方用户搭建的 Grok 应用仍然在线，部分第三方应用里也存放着企业、个人敏感信息，还需要平台和使用者自行排查。
【参考资料】
[2026-11-12]（Grok Build 被曝数据暴露：超九成 Grok 应用无需登录即可访问）凤凰网科技
[2026-11-11]（A Grok vibe-coding agent leaked sensitive SpaceXSI data）Engadget
[2026-11-10]（Grok Build 安全漏洞，SpaceXSI 内部资料外泄）Ars Technica
[2026-07-14]（马斯克认了，SpaceXAI 偷传代码全部删除）36 氪
[2026-10-15]（Cursor 员工调查机密数据是否流入 SpaceX 用于 AI 训练）虎嗅网
【免责声明】
本内容为 SpaceXSI 旗下 Grok Build 安全漏洞事件公开信息整理，漏洞细节、泄露范围、平台修复方案会随 SpaceXSI 后续更新持续变化；本事件相关泄露内容由第三方安全公司 Claroc 的调查报告披露，不代表全部泄露清单，企业和开发者使用 Grok Build 时请自行做好权限管控与敏感数据隔离，本内容不构成安全方案、业务决策依据。