SpaceXSI 的 Grok Build 潛在漏洞導致數以千計用戶嘅敏感資料暴露，包括 SpaceXSI 自身、醫院集團、消防部門等。安全團隊指出，Grok 對應用程式嘅連結處理方式，使得某啲連結可以被特定 DNS 服務公眾曝光，從而引發資料外洩。研究人員喺部落格貼文中寫道：「我哋真係好震驚。」相關公司隨即採取措施，但問題點解仍未全面解決。 SpaceXSI 自身嘅多份內部資料先前公開於「GhostShares」嘅連結之中；呢啲連結可以畀無授權人士打開，從而瀏覽內部內容。
根據 Claroc 嘅評估，暴露資料中包含一份上線培訓計劃、594 個戰略帳戶嘅銷售區域地圖、8 份廣告提案、4 個直播廣告客戶看板，仲有兩份 X 品牌安全運作手冊。值得留意嘅係，暴露嘅應用程式中只有一個要求密碼，其餘多數都係公開連結就可存取。六間同時被暴露嘅公司屬於 Fortune 500 名單，另外有 26 間員工規模超過 1,000 人。Claroc 估計，大約有 2% 嘅材料屬於嚴重至關鍵等級，需要更高層級嘅警戒。
呢次事件揭示嘅核心問題，係 Grok Build 對連結嘅生成同放置方式——佢用四字詞嘅「dice words」作連結，最多有 38 bits 嘅熵值，但呢啲連結被放喺域名左側，而唔係像 Google Gemini 咁放喺右側，呢個設計使被動 DNS 伺服器更易喺公開資料庫中捕捉同搜尋到。Claroc 表示，呢個漏洞屬於設計缺陷，唔係單純嘅權限錯配。 SpaceXSI 同受影響公司已迅速嘗試封堵暴露，但有報告指 SpaceXSI 自身直到 Claroc 在 X 平台上點名高層人士先有回應，之後先行下架 24 個自己暴露嘅應用程式，但仍有其他 Grok 使用者同機構暴露喺外。
技術與治理層面嘅啟示：連結設計、資料最小化與透明度
事件從技術角度提出幾個重要啟示。第一，連結嘅設計需避免將敏感路徑放喺域名左側，應該以可控權限嘅方式分享，並引入嚴格嘅驗證機制，即使連結被外部 DNS 服務捕捉，亦難以直接存取敏感內容。第二，資料最小化原則仍然有效，暴露資料應限制喺最低限度、並實施分類與分級授權，必要時採用單點撤回與自動化封存。第三，供應商同客戶之間嘅事件通報機制要更加及時，尤其當涉及跨公司敏感資料時，應儘快公開透明地披露範圍與影響程度，避免社羣對風險嘅錯判或延誤處理。最後，受影響企業嘅跨組織協作顯得格外重要，Claroc 指出，相關公司快速收窄暴露面向，對外部壓力嘅反應亦需更協調，以降低後續嘅信譽風險。
從資安治理角度，呢次事件亦提供咗三個值得深挖嘅數據點。首先，暴露資料中涉及嘅員工資料與組織內部資源，提醒企業要定期執行第三方風險評估，並實施嚴格嘅存取控制同日誌審計。其次，雖然暴露範圍涵蓋多間大企業，但實際造成高風險嘅材料僅佔總被暴露資料嘅大約 2%，呢個比例為風險評估提供一個參考框架。第三，喺左側域名放置連結嘅設計似乎係造成曝光嘅直接原因，呢個設計選擇可以成為未來同行嘅警惕點，促使同行在新產品開發階段就考慮「連結暴露風險」嘅保護策略。
市場與投資者視角方面，SpaceXSI 同相關公司受此影響可能帶嚴肅嘅信譽風險，尤其係涉及重大高風險資料同跨組織合作嘅案例。雖然暴露嘅資料多為內部計劃與廣告資料，但公開連結嘅廣泛可存取性，亦可能促使客戶重估同 Grok 相關工具嘅使用安全性。此外，呢類事件對供應鏈韌性同資料保護成本亦可能帶來長期影響，促使企業優先投資於訪問控管、資料加密同雲端資安自動化解決方案。
受影響範圍與後續因應
據 Claroc 嘅分析，暴露嘅資料涉及多間 Fortune 500 公司，受影響嘅企業數量同規模表明，此類連結式資料暴露唔係局部個案，而係具備一定普遍性嘅風險模式。SpaceXSI 自身已下架 24 個暴露嘅應用，顯示出針對自家生態系統嘅快速防護能力，但同其他 Grok 使用者同機構之間嘅暴露仍待加強。企業需要喺短期內完成暴露範圍清單、更新連結分享策略、並提升跨部門同第三方嘅監管協作，確保相似事件唔再發生。安全專家亦建議，對於任何可能暴露敏感內容嘅連結，應採用嚴格嘅訪問審核、兩步驗證同動態撤回機制，並建立公開透明嘅事件通報流程，以降低外部風險同維護企業信譽。
