埃隆·马斯克旗下SpaceXSI开发的AI编程工具Grok Build，因平台默认配置存在严重安全疏忽，导致大量敏感数据泄露。SpaceXSI是SpaceX与xAI合并后成立的实体，Grok Build允许用户通过自然语言描述快速生成并发布Web应用，每个应用会获得一个格式为<name>.grok.me的唯一网址。
尽管该域名设计旨在通过随机单词组合保护隐私，但安全研究公司Claroc指出，这些地址可通过被动DNS服务被索引和发现。研究人员据此识别出43,601个属于grok.me域名的活跃地址。
默认公开导致大规模暴露
调查显示，绝大多数应用处于无保护状态。在识别出的应用中，有35,578个（占比94.7%）无需任何身份验证即可访问。Grok Build提供三种隐私选项：“任何拥有链接的人”、“受邀用户”和“仅我自己”，其中“任何拥有链接的人”被设为默认选项，导致多数用户在未察觉的情况下公开了应用数据。
虽然部分应用仅为游戏或计算器，但约10%的应用包含敏感内部信息，2%的应用泄露程度被评为高危或危急。泄露数据包括医院员工目录、重症监护患者信息、卡车公司招聘数据库，以及包含18个账户明文密码（含管理员凭据）的员工考勤表代码。
SpaceXSI自身也未能幸免。研究人员发现了24个开放的内部应用，泄露内容涵盖入职计划、员工名单、近600个战略客户的销售区域地图、媒体计划及标记为机密的美国联邦机构预算文件等。仅有一个流媒体广告测量研究档案设置了密码保护。
Claroc还验证了数据篡改风险，成功构建了两个应用，分别允许未授权访客修改共享联系人数据库，以及自动授予任意Google账户登录者访问权限。
11月8日，研究人员向SpaceXSI通报了上述漏洞。随后两天内，SpaceXSI下线了所有相关应用，目前正着手处理受影响名单并通知相关人员。