# Claroc发现35,578款Grok应用无需登录即可访问

> 安全公司称，部分已发布的Grok应用暴露了患者信息、密码和公司文件。SpaceXSI已下架24款员工应用。

Oossa · 2026-11-11 · https://oossa.com/zh/claroc-finds-35-578-grok-built-apps-open-without-login

安全公司Claroc称，它发现35,578款Grok开发的应用无需登录即可访问。这占该公司检查的、仍在线运行的37,571款应用的94.7%。部分应用包含患者信息、明文密码和机密商业文件，其中包括来自Grok开发商SpaceXSI的资料。

Grok的Build模式允许用户在聊天中描述应用，并由助手编写代码。创建者在grok.me上发布应用后，应用便会公开。在Claroc使用的付费账户中，发布对话框已默认选中“任何拥有链接的人”。该公司还称，可以通过可搜索的被动DNS数据库找到应用名称；这类数据库会记录访问过的域名。

## 暴露了哪些信息？

Claroc估计，有650至800款应用包含私人数据。已确认的案例包括一份列有患者化验结果的重症监护病房交班简报、一家医院集团超过3,500名员工的名单，以及一份消防部门的轮班表。一款工时记录应用的源代码中包含18个账户，密码以明文形式存储。Claroc称，约十分之一的可访问应用含有敏感、内部或个人信息，约2%涉及特别严重的问题。

该公司还发现24款可访问应用由SpaceXSI和X员工制作。其中包括一份列有内部系统地址和聊天频道的入职计划、一张列出594个战略客户的销售地图，以及机密广告方案。Claroc称，它在另外30家机构发现了受影响的应用，其中包括六家《财富》500强企业，但没有透露这些机构的名称。

Claroc自测的两款应用还存在公开分享之外的问题。一款应用的数据库允许匿名访客添加联系人。另一款应用中，Grok生成的代码在核实访客是否属于团队之前，就将任何已登录访客加入团队，使外部账户能够读取、编辑和删除记录。Claroc称，它只在自己的应用中测试了写入和删除操作。

## 接下来会怎样？

SpaceXSI表示，应用在创建者分享前会保持私密，发布需要经过多个步骤，员工账户默认设置为“仅你可见”。Claroc称，如果最终发布页面仍预先选中“任何拥有链接的人”可访问，这些设置仍无法防止信息暴露。该公司建议默认设置为仅限私人访问，并在应用包含数据库但未设置登录功能时向用户发出警告。

SpaceXSI已将其24款员工应用下线，但Claroc称，其他暴露信息的应用仍可访问。由于SpaceXSI没有承诺联系这些应用的所有者，Claroc表示将直接通知他们。Claroc销售用于保护AI生成应用的安全产品；评估其调查结果时，值得考虑这一点。此次事件发生在此前的Grok隐私问题之后，也与Claroc曾报告的Meta和Anthropic分享功能问题相似。

## 事实

- Claroc检查了37,571款仍在线运行的Grok应用，发现其中35,578款无需登录即可访问。
- 据Claroc称，这35,578款可访问应用占样本的94.7%。
- Claroc估计，有650至800款应用包含私人数据。
- Claroc发现24款由SpaceXSI和X员工制作的可访问应用；SpaceXSI随后已将这些应用下线。
- Claroc称，它在另外30家机构发现受影响的应用，其中包括六家《财富》500强企业。

## 为什么重要

发布Grok生成的应用后，即使发布者认为访问受到限制，应用内容仍可能暴露；部分应用可能含有个人或商业数据。SpaceXSI已下架员工制作的应用，但Claroc称其他暴露信息的应用仍可访问；目前尚不清楚这些应用的所有者是否已收到通知，也不清楚访问设置是否会调整。

## 来源与参考

1. [Grok-built apps exposed patient data, plaintext passwords, and SpaceXSI's own sales pipeline](https://the-decoder.com/grok-built-apps-exposed-patient-data-plaintext-passwords-and-spacexsis-own-sales-pipeline/) – The Decoder, 2026-11-11

最后更新: 2026-11-11