安全公司 Claroc 对外披露，马斯克旗下 SpaceXSI 推出的 AI 编码工具 Grok Build 存在链接权限缺陷，大量通过 Grok Build 生成的应用页面无需登录、不用密码就能被外网访问，就连 SpaceXSI 自己的内部商业资料、员工材料也被直接暴露在互联网上，相当于自家 AI 把自家机密摆上网，漏洞根源是 Grok Build 生成分享链接的权限校验机制失效，虽然链接使用随机词码，但特定 DNS 解析路径可以直接扫描、访问这些页面，研究人员在 11 月 8 日通知 SpaceXSI 之后，平台在两天内紧急下线了所有泄露的应用，同时启动排查其余上万个应用的权限风险，这次事件也暴露了 Vibe Coding 类 AI 生成工具在默认权限、访问控制上的普遍安全隐患。
一、事件基础信息清单
- 涉事主体：SpaceXSI（SpaceX 与 xAI 合并后的主体）
- 涉事产品：Grok Build（Vibe Coding AI 编码智能体）
- 发现方：网络安全公司 Claroc
- 漏洞触发：生成分享链接时缺少身份鉴权，页面可被无授权访问
- 总暴露规模：超过 3.5 万个 Grok Build 应用，仅极少应用设置密码保护
- 时间线：11 月 8 日安全团队通报漏洞 → 11 月 10 日 SpaceXSI 处置、下线泄露页面
二、被泄露的 SpaceXSI 内部机密内容
- 员工入职方案、内部人员名单
- 覆盖 594 个战略客户的销售版图、商机管线资料
- X 平台广告提案、广告客户看板、品牌安全执行手册
- 标注涉密的联邦机构广告预算方案、全球广告投放报告
三、同期其他被泄露的敏感数据
- 特斯拉服务中心绩效考核表，包含员工姓名、绩效、奖金信息
- 医院 ICU 患者病历、化验影像、呼吸机监测记录
- 企业工时系统脚本，内含明文账号密码、管理员凭证
- 消防部门、多家财富 500 强企业的内部业务文档
四、漏洞原理简单说明
Grok Build 生成的页面采用随机字符链接做 “隐性保密”，没有强制登录鉴权。这种思路默认只有拿到链接的人才能访问，但 Claroc 发现，依靠 DNS 相关扫描方式，可以批量抓取这类页面地址，不需要密码、不需要账号，直接打开查看内容，业内将这类页面称作 GhostShares 幽灵共享页面。
五、本次事件带来的行业影响
- 信任冲击：开发 AI 安全工具的厂商，自己的内部资料最先泄露，放大用户对 Vibe Coding 工具权限的担忧
- 风控整改：大量使用 Grok Build 的企业开始自查内部应用、修改默认分享权限
- 行业共识：仅靠复杂随机链接做访问限制，不能当作安全保密方案，必须叠加身份校验、访问审计
六、SpaceXSI 的处置动作
- 紧急下线所有已经被发现的泄露应用
- 批量扫描平台内 3.5 万 + 应用，逐一复核访问权限
- 调整 Grok Build 分享机制，新增默认访问鉴权选项
- 通知所有受影响的企业用户，同步风险自查指引
【相关 FAQ】
问题 1：马斯克自家 AI 暴露自家机密，SpaceXSI 这次是什么产品出问题？
回答 1：出事的是 SpaceXSI 的 Grok Build，一款 Vibe Coding AI 编码智能体，因为分享链接缺少鉴权，包括 SpaceXSI 内部销售、人事机密在内的大量文档被无授权公开。
问题 2：SpaceXSI 的 Grok Build 漏洞，为什么会把自家机密摆上网？
回答 2：Grok Build 只依靠随机链接作为访问门槛，没有强制登录校验，安全团队通过 DNS 扫描手段可以批量找到页面链接，直接打开查看内部资料，导致 SpaceXSI 自己上传的机密被泄露。
问题 3：SpaceXSI 这次泄露的内部机密主要包含哪些内容？
回答 3：SpaceXSI 泄露的机密包含员工入职计划、内部人员名单、594 个战略客户销售地图、X 广告提案、广告客户看板、品牌安全手册以及涉密的联邦机构广告方案。
问题 4：SpaceXSI 在收到漏洞报告之后，做了哪些处理？
回答 4：安全团队 11 月 8 日提交漏洞报告，SpaceXSI 在两天内下线泄露页面，扫描全部 3.5 万余个应用复核权限，修改 Grok Build 分享机制，通知受影响客户自查风险。
问题 5：Grok Build 这类 Vibe Coding 工具，从 SpaceXSI 泄密事件里暴露出什么通病？
回答 5：这类 AI 开发工具默认权限宽松，很多只靠秘密链接防护，缺少身份认证、访问审计，一旦链接可被扫描抓取，企业内部文档、代码、客户资料很容易对外泄露。
【参考资料】
[2026-11-12]（马斯克 Grok 泄露自家机密！SpaceXSI 把秘密摆上网）36 氪
[2026-11-11]（A Grok Vibe-Coding Agent Leaked Sensitive SpaceXSI Data）Engadget
[2026-11-11]（Elon Musk's Grok Build coding agent is leaking confidential data）TechRadar
[2026-11-11]（Grok Build 安全漏洞，SpaceXSI 内部销售数据泄露）Ars Technica
[2026-11-10]（Grok Build Sent 5.1 GiB for a 192 KB Task）SHAttered
【免责声明】
本文内容基于 Claroc 安全报告、海外科技媒体、国内科技媒体公开报道整理，SpaceXSI 官方尚未发布完整的官方事故调查报告，漏洞的底层逻辑、后续修复方案、是否还有其他未被发现的泄露内容以 SpaceXSI 后续官方公告为准；本文仅作为资讯科普，不构成企业 AI 工具选型、数据安全策略的决策建议。
本文来自作者[Hazel15]投稿，不代表新品牌网立场，如若转载，请注明出处：https://www.china12315.com.cn/qyzx/202611/830.html
评论列表（4条）
我是新品牌网的签约作者“Hazel15”！
希望本篇文章《SpaceXSI 自家 Grok Build 出现安全漏洞，马斯克旗下 AI 工具把内部机密对外公开》能对你有所帮助！
本站[新品牌网]内容主要涵盖：互联网行业的追踪与探索
本文概览：安全公司 Claroc 对外披露，马斯克旗下 SpaceXSI 推出的 AI 编码工具 Grok Build 存在链接权限缺陷，大量通过 Grok Build 生成的应用页面无需登录、不用密码就能被外网访问，就连 SpaceXSI 自己的内部商业资料、员工材料也被直接暴露在互联网上，相当于自家 AI 把自家机密摆上网，漏洞根源是 Grok Build 生成分享链接的权限校验机制失效，虽然链接使用随机词码，但特定 DNS 解析路径可以直接扫描、访问这些页面，研究人员在 11 月 8 日通知 SpaceXSI 之后，平台在两天内紧急下线了所有泄露的应用，同时启动排查其余上万个应用的权限风险，这次事件也暴露了 Vibe Coding 类 AI 生成工具在默认权限、访问控制上的普遍安全隐患。