北京
安全研究机构Claroc分析了用Grok生成的37,571个应用，发现其中35,578个可以在没有身份验证的情况下在线访问。这些应用绝大多数是游戏、幻灯片和计算器，但约每十个开放应用中就有一个包含企业内部数据或个人信息。
Claroc估算，约2%的应用含有高风险或严重风险内容。研究人员给出的例子包括：一家医院集团超过3,500名员工的名单、一名重症监护室患者的信息、一份实时更新的消防部门排班表。在一个承包商应用中，所有员工密码以未受保护的形式直接显示在内容里。
研究还发现，X和SpaceXSI（即此前名为xAI的公司）的员工创建了24个应用，其中包括一名新销售员的入职计划、一张标注594名客户的地图，以及一份提交给美国联邦机构的机密广告方案。SpaceXSI已将这24个应用全部移除，但其他用户的应用并未处理。
Claroc总共识别出另外30家机构的内部数据，其中26家员工规模超过1,000人，6家位列美国500强企业。
应用之所以能被打开，与发布机制有关。用Grok创建应用的能力于8月19日向所有套餐开放。创建者要让应用可用，需点击“发布”并选择谁可以打开。在研究人员测试的一个付费账户上，“任何拥有链接的人”这一设置已被预先选中。
SpaceXSI回应称，应用在创建者分享之前保持私密，员工账户默认使用“仅自己”设置，只有创建者本人可以访问。Claroc则用两个自建应用、以虚构数据做了测试：其中一个，访客无需登录即可添加数据；另一个，一个未被邀请的谷歌账户能够查看并修改数据。研究人员强调，他们只测试了自己构建的应用，并未检查所发现的应用是否允许类似修改。
Claroc于周一表示，已将包括24个员工应用在内的发现通知SpaceXSI，截至调查发布时未收到对方回复。Claroc也已开始通知受影响机构，并向其中三家发送了消息，但未公布这些应用的地址或名称。
Claroc给出的建议是：
- 审查员工使用的应用创建工具；
- 将访问权限限制为访客或仅限所有者；
- 测试公司外部人员能否登录；
- 停用已无明确负责人的应用。
在Claroc的测试中，“仅自己”设置阻止了陌生人访问应用及其数据，而停用操作在几秒内就让一个应用下线。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
