Newshot 
安全公司 Claroc 在网上发现了 37,571 个由 Grok 构建的应用，其中 35,578 个无需登录即可被任何人访问，研究人员昨天表示。
这些应用包括由社交网络 X 以及开发 Grok AI 助手的公司 SpaceXSI 的员工构建的 24 个应用。大多数公开应用是游戏、落地页和计算器，但约十分之一包含内部业务或个人数据。
这些员工应用包括一份新销售员工的机密入职计划、一份涵盖 594 个客户的销售区域地图，以及一份发给美国联邦机构、标记为机密的 X 广告提案。研究人员表示，SpaceXSI（前身为 xAI）此后已下架全部 24 个员工应用，但未下架其他用户的应用。
除这些员工应用外，公开应用还包含研究人员能够识别出的另外 30 个组织的内部数据，涉及建筑、能源、医疗和国防等领域。其中 26 个组织拥有超过 1,000 名员工，6 个是《财富》500 强公司。
根据研究人员在报告中的估计，约 2% 的公开应用包含严重程度足以评为高或危急的内容。
泄露的材料包括一家医院集团可搜索的 3,500 多名员工名单、一份关于单一患者的重症监护简报、一个消防部门的实时值班板，以及一家承包商的时间表——其代码以明文保存了每名员工的密码。
Grok 可以根据在聊天中输入的一段描述构建一个可用的应用，其开发者于 8 月 19 日向所有 Grok 套餐开放了这一功能。这个聊天构建器与一个独立的终端编码工具共用 Grok Build 这一名称，后者的代码仓库上传情况已于 7 月 14 日被报道。
根据该公司的发布公告，每个发布的应用都会获得 grok.me 的一个独立子域名，其创建者可以选择谁可以打开它。
在创建者点击 Publish 之前，应用不会公开。在研究人员使用的付费账户中，下一步提供了 3 种访问设置：“Anyone with the link”、“Invited users”和“Only you”。“Anyone with the link”已被预先选中。
研究人员表示，这一设置之所以重要，是因为应用的地址不会一直保密。打开一个应用会使访问者的计算机在 DNS 中查询其子域名。被动 DNS 服务会记录此类查询，任何拥有账户的人都可以按模式搜索这些记录。
Grok 会为每个应用建议 4 个随机单词作为名称，研究人员发现约一半的名称遵循这一模式。此类名称难以猜测，但这并不能保护一个名称已经出现在可搜索列表中的应用。
ChatGPT 的应用构建器也将每个应用放在独立子域名上。但当研究人员在那里分享一个应用时，其访问权限被设置为“Only me”，直到他们将其更改。他们表示，在 DNS 数据中发现的 ChatGPT 应用地址会指向一个只有其所有者才能打开的应用。
研究人员使用常见的子域名发现方法找到了 Grok 应用的名称，并在未登录的情况下加载了每个应用的首页一次。
为了查看 Grok 自身添加了哪些保护，研究人员用虚构数据构建了 2 个测试应用，并在访问设置已预先选中为“Anyone with the link”的情况下发布了这两个应用。
第一个是联系人列表，它获得了一个数据库，但没有登录功能。在未登录的情况下，研究人员从隐私浏览窗口添加了一行，下一位访问者便看到了它。
第二个是一个 4 人销售团队的客户列表，Grok 自行添加了登录按钮：“Continue with Google”和“Continue with X”。但 Grok 编写的代码在检查登录者是否属于该团队之前，就先将其加入团队，因此这项检查始终通过。
一个不属于所有者的未受邀 Google 账户进入了系统，查看了所有客户，编辑了一条记录，并删除了另一条。
研究人员仅在自己的应用上进行了这些测试。他们并未测试所发现的任何开放应用是否会接受此类更改。
研究人员于周日通过 SpaceXSI 的 security.txt 文件中的地址向其报告了发现，其中包括 2 个员工应用。他们在周一报告了另外 22 个。
截至研究人员昨日发布报告时，该公司尚未回复他们的报告，但已答复了一名记者关于该研究的问题。
据研究人员描述，该公司表示 Grok 应用在创建者分享之前一直保持私有。发布需要经过多个步骤，包括在“Only you”和“Anyone with the link”之间做出选择，以及一份法律免责声明。员工账户默认设置为“Only you”。
即便如此，研究人员称，由该公司和 X 的员工构建的 24 个应用对任何人开放。
在报告中，研究人员曾要求该公司将“Only you”设为默认，并增加一个将应用限制在公司自有电子邮件域的选项。
据研究人员称，该公司的回复并未声明将联系其他开放应用的所有者。他们已开始自行向受影响的组织发送电子邮件，截至发布时已发送 3 封。他们在报告中隐去了所有应用的地址和标题。
10 月 18 日，同一批研究人员发布了 Muse 研究，显示从 Meta 的 Muse AI agent 分享的页面可通过被动 DNS 找到。Meta 禁用了分享功能，随后于 10 月 22 日宣布了一项分享修复，为分享项目分配了新地址。
如何检查贵组织的 Grok 应用
Claroc 销售用于发现和保护 AI 构建应用的工具，建议进行以下检查：
- 查明员工使用了哪些 AI 应用构建器。Grok、Lovable、Replit、v0、Bolt、Base44 和 Google AI Studio 等构建器无需 IT 设置或公司账户即可使用。
- 如果您有权访问被动 DNS 数据，请查询这些构建器的域，并在隐私浏览器窗口中打开任何结果。
- 确保任何包含内部数据的 Grok 应用设置为“Invited users”或“Only you”，并且陌生人会收到错误页面。
- 尝试使用公司外部的账户登录。如果能够进入，则该应用需要一份允许人员名单。
- 检查每个应用加载的脚本中是否包含姓名、电子邮件地址和密码，并取消发布没有所有者的应用。
在研究人员的测试中，将应用设置为“Only you”会使陌生人在访问页面及其数据时收到 401 错误，而取消发布可在几秒内使应用下线。