Grok Build 被曝大量应用公开泄密

Grok Build 被曝出现应用访问与机密信息暴露问题。根据目前提供的 Ars Technica AI 报道摘要，研究人员发现约 3.5 万个 Grok Build 应用可被外部人员直接访问，暴露内容包含机密信息，部分涉及 SpaceXSI。目前拿到的只有标题和摘要，应用可访问的具体条件、泄露范围及原因还不清楚。

目前能确认什么

摘要给出了两项信息：约 3.5 万个应用可被外部人员直接访问；暴露内容中存在机密信息。但它没有说明每个应用都包含机密信息，也没有交代 SpaceXSI 相关内容的类型、数量及归属细节。

应用能被访问，不等于其中所有数据都已泄露。

理解这类问题，需要区分页面访问与数据授权。页面可以公开，但涉及内部资料的 API 仍应在服务端校验身份和权限。反过来，即使页面没有展示入口，只要接口缺少授权检查，隐藏按钮或使用难猜的 URL，也不能替代访问控制。这些是通用安全原则，尚不能据此认定此次事件的成因。

我的判断

对使用编程 Agent 交付应用的程序员，这条消息提醒我们：验收不能只停在功能能否跑通，还要检查外部访问者究竟能看到什么。

具体可以从退出登录后的访问开始，检查页面、接口响应，以及发到浏览器的 JavaScript 中是否出现内部资料或密钥。权限判断应由服务端执行，不能只靠前端限制入口。

目前还不能把暴露原因归结为 Agent 生成代码、平台默认配置或使用者配置。

要判断问题出在哪一层，还需确认这些应用原本是否被设为公开、访问是否需要身份凭证，以及机密信息位于页面、接口还是其他资源中。摘要也未说明是否已有第三方获取或利用这些信息，不能把「可访问」直接写成「已遭窃取」。