安全厂商 Claroc 监测发现，全网一共找到 37571 个由 Grok Build 功能生成的应用，其中 35578 个不用登录、任何人都能直接访问，部分应用里面存放了企业机密、员工信息、医疗隐私甚至明文账号密码，这次风险根源是 Grok 一键生成应用后默认对外公开，很多用户没有修改访问权限，把敏感内容直接打包发布；Grok 在 8 月 19 日面向全部订阅用户开放了 App Builder 能力，普通人用自然语言描述需求就能快速生成可上线的网页应用，上手门槛很低，员工、业务人员随手搭建内部工具，没意识到发布之后会全网可见；大部分暴露应用只是小游戏、计算器、简单落地页，但是大约 10% 包含内部业务数据，其中约 2% 属于高危、关键敏感数据，覆盖医疗、能源、国防、建筑等行业，甚至包含 X、SpaceXSI 自家员工搭建的涉密工具，SpaceXSI 已经紧急下架了内部员工的 24 个风险应用，但大量普通用户创建的公开应用还没有清理；企业和个人使用 Grok 生成应用时，发布前必须手动改成私有访问，不要把密码、病历、客户资料、内部方案放进 AI 生成应用里，同时企业要管控员工使用 Grok Build 的权限，建立发布前的敏感内容检查流程，避免内部数据直接外泄。

一、本次 Grok 暴露事件基础信息表

二、已经曝光的敏感数据清单

1. 企业商务机密：销售客户地图、内部入职方案、面向联邦机构标注机密的广告提案
2. 员工人事绩效：特斯拉服务中心员工绩效、奖金、工时清单
3. 账号凭证：承包商工时系统代码内存储明文员工密码
4. 医疗隐私：ICU 患者化验报告、影像记录、呼吸机监护数据、医院数千员工名单
5. 公共单位数据：消防部门实时值班看板、单位内部排班信息
6. 其他行业：能源、国防、建筑行业内部业务台账

三、风险形成完整流程

1. 用户使用 Grok Build，输入自然语言需求，附带粘贴内部表格、文档、账号信息
2. Grok 自动生成网页应用，默认权限设置为公开访问，无需身份校验
3. 应用自动发布在 grok.me 域名，搜索引擎可以抓取，任何人拿到链接就能打开
4. 攻击者批量爬取 grok.me 站点，直接读取应用内嵌入的明文数据
5. 数据泄露后，创建者没有告警机制，很难自主发现数据已经公开

四、核心风险点对比

✅ 优势：Grok Build 低代码能力，业务人员不用写代码就能快速搭建工具

❌ 安全短板 1：默认公开，没有强制私有发布选项，权限提醒弱

❌ 安全短板 2：没有内置敏感信息识别拦截，明文密码、病历可以直接打包发布

❌ 安全短板 3：缺少访问审计、访问日志、异常访问告警

❌ 安全短板 4：员工随手搭建，企业 IT、安全部门没有审批流程

五、企业 & 个人防护操作清单

1. 发布前权限修改：Grok 应用生成后，优先切换为私有，设置访问密码或者白名单
2. 内容自查：禁止在 Grok 生成应用输入账号密码、密钥、身份证、病历、涉密合同
3. 企业管控：在员工安全规范中限制使用 Grok Build 承载内部业务数据，必要时拦截域名
4. 自查存量：检索自己名下 grok.me 链接，检查历史应用是否存在敏感内容
5. 泄露处置：一旦发现敏感应用公开，立刻删除应用，同步修改泄露密码、通知相关人员

【相关 FAQ】

问题 1：超 3.5 万个 Grok 生成应用在线暴露，这个泄露事件是什么原因造成的？

回答 1：超 3.5 万个 Grok 生成应用在线暴露，根源是 Grok Build 一键生成应用默认设置为公开访问，很多用户直接粘贴机密、密码、病历等敏感内容生成工具，没有手动修改权限，任何人拿到链接就能访问应用里面的全部数据。

问题 2：超 3.5 万个 Grok 生成应用在线暴露，是不是所有 Grok 生成应用都有泄露风险？

回答 2：超 3.5 万个 Grok 生成应用在线暴露，并不是全部应用都携带敏感数据，大部分只是小游戏、计算器等普通工具；大约 10% 含有内部资料，只有 2% 属于高危机密，风险取决于用户往应用里填入了什么内容。

问题 3：超 3.5 万个 Grok 生成应用在线暴露，SpaceXSI 已经完成全部风险应用清理了吗？

回答 3：超 3.5 万个 Grok 生成应用在线暴露，SpaceXSI 只下架了自家员工搭建的 24 个涉密应用，大量外部普通用户发布的公开 Grok 应用还留在线上，没有统一清理。

问题 4：超 3.5 万个 Grok 生成应用在线暴露，企业员工使用 Grok Build 该怎么规避数据泄露？

回答 4：超 3.5 万个 Grok 生成应用在线暴露，企业员工使用 Grok Build 时，不要上传密码、客户资料、医疗病历、内部绩效等敏感材料；生成应用之后必须把访问权限改成私有，同时企业增加内容审查和域名访问管控。

【参考资料】

[2026-11-11]（超 3.5 万个 Grok 生成应用在线暴露，部分泄露机密数据与密码）FreeBuf 网络安全行业门户

[2026-11-11]（Over 35,000 Grok-Built Apps Exposed Online, Some Leaking Confidential Data and Passwords）The Hacker News

[2026-11-12]（马斯克 Grok 泄露自家机密，SpaceX 特斯拉工资绩效全曝光，患者隐私也没逃过）36 氪

[2026-11-12]（Grok AI App Builder Exposes 35,578 Public Applications）Undercode News

[2026-11-12]（Grok 生成应用大规模泄露，明文密码、医疗记录外流）Cyber Security News

【免责声明】

本文内容仅整理 Claroc 安全研究公开报告以及行业媒体资讯，超 3.5 万个 Grok 生成应用暴露事件的数据、泄露样本以安全厂商原始报告为准；Grok Build 权限、产品策略后续可能调整；本文不构成企业数据安全制度、安全管控方案，企业需结合自身数据分级规范做内部管控，因自行使用 AI 生成应用造成的数据泄露风险由使用者自行承担。