超3.5万个GrokBuild应用默认公开暴露 含6家世界500强机密数据

网络安全研究机构Claroc近日披露，AI低代码平台Grok Build存在严重配置风险：超3.5万个用户生成的应用因链接标识置于子域名（如random-words.grokbuild.ai）而可被DNS枚举发现，导致35,578个在线应用对任何人无密码开放，占比超94%。研究人员通过被动DNS服务识别出43,601个应用地址，实测确认其中约10%含敏感信息，650至800个属高危泄露，影响至少30家组织，包括6家《财富》世界500强企业及26家千人以上机构。泄露内容涵盖医院员工名单、消防排班表、司机邮箱、明文存储的账号密码等；尤为突出的是，平台运营方SpaceXSI自身24个内部应用亦暴露，含标注“机密”的入职计划、594客户销售地图、X平台广告提案及安全手册，仅1个设密码保护。问题根源在于平台将唯一标识置于子域而非路径，构成不安全的直接对象引用（IDOR）变种。Claroc通报后，SpaceXSI紧急下架自身应用，但第三方暴露应用仍未统一处理。同期Claude Code也被曝因自动记录Shell命令致超1,994个代码库泄露2,539个有效密钥，凸显AI开发工具普遍缺乏默认安全机制。专家呼吁平台应强制访问控制、移标识至路径，并集成敏感字段扫描功能，避免便利性牺牲安全性。