搜索
Grok 生成应用存在权限漏洞，大量企业及用户隐私数据泄露
2 小时前
安全公司Claroc发现，超过3.5万个使用Grok构建的应用无需登录即可访问，导致大量企业机密和个人隐私数据暴露，涉及SpaceXSI、X、特斯拉等多家机构，甚至包含ICU患者敏感信息及企业员工明文账户密码。经排查，这些应用地址可通过被动DNS数据库批量获取。Grok默认将发布应用的访问权限设为任何持有链接的人，且其生成的应用代码存在权限校验逻辑错误——系统先将登录者加入团队再校验成员身份，导致未授权用户可随意访问甚至修改数据。对照测试显示，ChatGPT应用默认分享权限为仅限本人，安全性更优。事件曝光后，涉事的SpaceXSI和X员工创建的应用已全部下线，但大量其他用户创建的应用仍可公开访问，平台尚未明确是否会主动通知其他受影响客户。
