Grok 3.5万个应用敞着门，接单踩坑都在分享链接

用一句话生成一个内部工具，这件事在今年变得太容易。销售做客户地图，工厂做体检看板，邮轮公司做后厨清单，几天就能上线一个带链接的小应用。方便的另一面是，很多人不知道那个链接默认是公开的，只要有人拿到地址，里面的数据就全都能看，连权限都不用申请，分享出去就等于公开，链接被转发一次，看的人就不止一个，谁拿到的都不用打招呼，地址一旦流出去，收也收不回来。

一家叫 Claroc 的安全团队扫描了 Grok Build 的分享链接，找到 3.5 万个应用处于敞开状态。Grok Build 是 SpaceXSI 推出的编码助手，生成的应用链接做了随机化，本意是只有知道地址的人能进。问题出在一个设计决定上，链接可以被枚举，随机化等于没用，谁都能顺着编号把正在跑的项目翻一遍，不需要猜、也不需要撞库，写个小脚本就能跑一遍，编号是连续的，跳着翻也翻得动，几分钟就能把一个大类扫完，扫完再换下一个。

泄露的内容不轻。内部商业计划、广告提案、体检结果、邮轮后厨清单、员工姓名和工号，都在里面。最尴尬的是，24 个应用来自 SpaceXSI 自己，包括一份标着机密的入职计划、一张 594 个客户的销售区域图、销售工具的内部系统地址，还有几份广告投放提案，全都挂在公开链接上，等着被任何人点开，自家的项目也没能例外，产品负责人大概也没料到，自己做的演示里会有这些东西，还是最不该露的那几份。

其他客户也一样。秘鲁一家建筑公司的职业健康看板里有 3784 份体检记录；特斯拉的服务中心计分表列了 22 名技师的生产率和奖金状态；一家美国海军的工程承包商有 108 人的名单；一家医疗公司的员工应用列了大约 3565 个姓名和工号，打开链接就能看到，不需要账号，也不需要内部网络，浏览器打开就能翻页，连登录页都省了，权限判断根本没被触发，外面的人看到的就是全部。

处理的节奏值得记一笔。Claroc 在周日通知厂商，没有回应，随后在社交平台上直接点名创始人与产品负责人。厂商在媒体发出询问后几个小时内开始撤链，24 个自家应用变成找不到页面。公开发布的应用里，仍有大量数据挂着，没人知道自己的链接已经被陌生人打开过，也没人收到通知，数据已经被人存下来了，撤链只撤掉了入口，已经被人看到的记录回不去，通知客户这一步也省不掉。

接单踩坑的地方很具体。给客户做小工具，默认的分享设置要先关掉，链接能不能被枚举要测一遍，客户名单、体检、工号这些数据不该进演示环境。交付时写清谁可以访问、怎么撤销、日志在哪，比多做一个按钮重要。工具越便宜，越容易跳过这几步，代价往往不是自己承担，而是客户的数据被人挂到网上，合同里那点保密条款，挡不住一个默认设置，交付前多点两下，就能省掉一场解释。

创业找资源，上乌鸦部落。