超3.5万个GrokBuild应用无密码公开访问，SpaceXSI自曝24个内部系统

网络安全研究机构Claroc近日披露一项重大配置风险：AI编程工具Grok Build平台上，超过3.5万个用户生成的应用处于完全公开状态，任何拥有链接者无需登录即可访问。经实测，在线活跃的37,571个应用中，高达35,578个对陌生人彻底开放——这一比例超过94%。

该问题并非偶然疏忽，而是由平台默认设置与架构设计共同导致。Grok Build在生成分享链接时，将4个随机单词组成的唯一标识符（理论熵值最高38比特）置于子域名部分，例如random-words.grokbuild.ai；而不同于谷歌Gemini等工具将标识放在路径中（如gemini.ai/app/random-words），这种设计使得每次访问都会触发DNS查询记录。攻击者可通过被动DNS服务（如SecurityTrails、Censys）批量检索这些子域，从而发现并访问原本“仅限分享”的应用页面。Claroc将此类页面命名为“GhostShares”——即便未收到链接，外人也能自行找到并打开。

研究人员通过子域枚举技术共识别出43,601个应用地址，实测确认35,578个在线且无访问控制。其中约10%（即3,500余个）包含商业或个人敏感信息，650至800个被评估为高危或严重级别泄露，影响至少30家组织，包括6家《财富》世界500强企业及26家员工超1000人的大型机构。

泄露内容具体而触目：某医院集团3500多名员工的完整名单、一名重症患者的护理简报、消防部门实时排班表、卡车公司上千名司机的个人邮箱，以及一家承包商工时表代码中以明文形式存储的员工账号与密码。尤为讽刺的是，平台运营方SpaceXSI自身的24个内部应用也赫然在列——这些本应高度保密的系统包含标注“机密”的新员工入职培训计划、覆盖594个重点客户的销售区域分布图、8份X平台广告提案、4个仍在使用的广告客户账户管理看板，以及两份X品牌安全操作手册。全部24个应用中，仅1个设置了密码保护。

在Claroc向SpaceXSI通报并经媒体公开点名马斯克及公司高管后，上述24个内部应用才被紧急下架。但截至报告发布时，其余仍可公开访问的第三方应用并未获得同等处理。Claroc指出：“我们感到震惊——开发Grok的公司竟然让任何拿到链接的人都能查看自己的内部资料。”

值得注意的是，此次事件与同期另一项AI工具安全问题形成对照：Claude Code被曝将开发者授权执行的Shell命令（含密码、Token等）写入本地.claude/settings.local.json文件，而该文件常因.gitignore规则失效或项目初始化疏漏被误传至GitHub公共仓库。Apiiro安全团队发现，超10万份此类设置文件中，约1,100份含真实凭据，最终确认1,994个代码库中共有2,539个有效密钥泄露，涵盖Azure数据库密码、Square生产令牌、SSH root凭证等。

两项事件虽工具不同、机制各异，却揭示同一深层问题：当前AI编程智能体在降低开发门槛的同时，正悄然将传统软件工程中的安全责任转移至非专业用户。Grok Build的“任何人可访问”默认选项、Claude Code的自动记录与提交行为，均未充分警示用户其潜在风险。更关键的是，两类工具均依赖“用户自觉”来规避泄露——前者需手动启用密码保护，后者依赖全局.gitignore生效——而现实是，大量初级开发者或业务人员缺乏安全意识与配置能力。

从技术根源看，Grok Build的问题本质是Web安全经典陷阱“不安全的直接对象引用”（IDOR）的变种：当资源标识暴露于可枚举的命名空间（如子域）时，即使无认证机制，也可被暴力探测或被动收集。而Claude Code则属于“配置漂移+日志污染”组合风险：自动化功能在提升效率的同时，将敏感上下文意外固化为持久化文件，并绕过版本控制防护。

行业背景方面，Grok Build作为SpaceXSI推出的低代码AI编程平台，定位是让非技术人员快速构建应用。其“Build an app → Publish”极简流程极大降低了使用门槛，但也弱化了安全边界。类似产品如GitHub Copilot Workspace、Replit AI等近年纷纷推出“一键部署”功能，但多数未将访问控制设为默认强制项。根据Snyk 2026年DevSecOps报告，约68%的AI辅助开发项目在上线初期未配置最小权限策略，较纯人工开发项目高出41个百分点。

安全专家指出，此类问题难以单靠用户教育解决。理想方案应为“安全左移+默认加固”：平台层需将访问控制设为默认开启（如首次发布强制设密码或邀请制），并将链接标识移至路径而非子域；同时提供一键扫描工具，检测应用内是否含敏感字段（如password、secret、PGPASSWORD等）。事实上，Claroc在报告中已展示一个真实案例：某公开.json配置文件中明文嵌入了PostgreSQL连接命令，其中PGPASSWORD=\"S**\"虽作部分掩码，但仍被TruffleHog等扫描器识别为有效密钥——而该文件在Git历史中留存长达7个月。

目前，SpaceXSI尚未发布官方补丁计划，仅下架了自身暴露应用；Claude Code团队则回应称正在研究预防措施，并考虑内置密钥扫描功能。但多位白帽黑客提醒，历史教训表明：若漏洞修复仅依赖“用户自查”，则泄露将持续存在。2025年8月已有类似Bug报告被提交至Claude Code仓库，因60天无活动而自动关闭——这反映出AI工具厂商在安全响应机制上仍滞后于产品迭代速度。

随着AI原生应用数量激增，此类“便利性换安全性”的设计权衡正成为新型攻击面。当一个链接即可直达企业内部数据看板，当一段Shell命令自动存为永久凭证，开发范式的变革必须伴随安全范式的同步升级。否则，每一次“一键生成”，都可能成为下一次数据泄露的起点。