11 月 10 日，安全研究公司 Claroc 发布了一份报告。他们在 grok.me 这个域名下用常见的子域枚举方法找到 43,601 个应用名字，然后逐个打开首页，全程不登录。
43,551 个地址有响应，37,571 个还在线，其中 35,578 个（94.7%）不需要登录就能打开。只有 1,993 个（5.3%）返回 HTTP 401。
同一天，微软研究院发布了另一项研究：改掉模型里不到 10 个平时几乎不激活的神经元，不用重新训练，就能给建在它上面的智能体埋一个后门；触发词可以平常到一个日期，比如时钟走过 2027 年零点。
两条消息隔着半个地球，指向同一件事：企业资产台账的边界今年被撑开了两圈——一圈是员工自己造的系统，一圈是模型文件本身。
一、发布按钮的默认值，就是企业的暴露面
先把口径摆清楚。这份研究的数字是一层一层收窄的，每一层的含义都不同：
| 口径层级 | 数量 | 含义 |
|---|---|---|
| 子域发现 | 43,601 | 常见子域枚举列出 grok.me 下的应用名字 |
| 尝试访问 | 43,551 | 逐个加载首页，全程未登录 |
| 仍在线 | 37,571 | 有正常响应 |
| 无需登录即可打开 | 35,578（94.7%） | 任何人拿到链接都能看 |
| 需登录 | 1,993（5.3%） | 返回 HTTP 401，说明设置了"仅自己"或"受邀用户" |
真正有分量的不是总数，是里面有什么。在被打开的应用中，有 24 个由 SpaceXSI（原 xAI）与 X 的员工自己搭建：一份标着"机密"的新员工入职计划、一张覆盖 594 个战略客户的销售区域与管道地图、8 份广告提案与媒体计划（其中一份发给美国联邦机构，标注 Confidential）、4 个广告主账户看板（其中一个在追踪 160 万美元的销售目标）、7 份巴西日本韩国泰国的投放报告、2 份品牌安全手册。
除这两家公司外，还有 30 家可识别的组织把内部数据放在了公开应用里：26 家员工超过 1,000 人，6 家是财富 500 强；18 家在美国，12 家分布在其他 11 个国家。行业上建筑与房地产 7 家最多，能源与公用事业 5 家次之，其余分散在科技、医疗、交通、旅游、国防、制造与汽车金融。
Claroc 的估算口径是：约十分之一的公开应用含敏感材料、内部业务数据或个人数据，约 2% 严重到"高"或"临界"；按模型标记加人工复核的抽样校正，含私人数据的应用大约 650 到 800 个。
37,571 个在线 Grok 应用中，无需登录即可打开的比例（Claroc Research，2026-11-10）
SpaceXSI 的回应是：员工账号默认"仅自己"，发布要经过点击发布、选择地址、再点发布、在"仅自己"与"任何人持链接"之间选择、接受法律声明、最后再点一次发布。
Claroc 没有否认这些步骤，但反驳了另一点：在他们使用的付费账号里，走到那一步时，"任何人持链接"已经是选中状态。而且最有力的反证就在 SpaceXSI 自己身上——公司说员工应用默认私有，可它自己员工搭的 24 个应用仍然是公开的，直到报告发出后才下架。
多几步点击
是操作负担，不是访问控制。路径终点已经选好"所有人"，走完每一步的人依然会公开。
默认私有
是安全策略。要公开必须主动改，改的人知道自己在做什么，且留下可追溯的动作。
二、这些应用在做真活，禁不掉
Claroc 手工确认的样本里，有几件事很具体：一家医院集团 3,500 多名员工的活动名册，可搜索；一份重症监护病人的简报，含化验、影像和呼吸机状态；一艘邮轮的厨房检查清单，列着船员的姓名与工号；一个消防局的值班板，写着每名消防员的姓名、警号和值班时长；一家货运公司 1,000 多人的司机招聘名单，含法定姓名和个人邮箱；还有一份承包商工时表，脚本文件里存着 18 个账号的明文密码，包括管理员。
这些不是玩具。它们替代的正是采购软件本该提供的功能：销售管道、排班、名册、检验清单、工时统计。区别只在于，这些是员工在聊天窗口里几分钟生成的，发布也在同一个窗口完成，不装机、不报批、不经过 IT 的任何一道关。
采购来的软件
公司登录、角色划分、管理员能看到谁有访问权、有离职回收、有退役流程。慢，但这些是它的功能。
AI 生成的应用
一个链接。谁有链接谁能看，作者往往就是业务负责人，离职后应用还在，没人知道它存在。
过去的影子 IT 有一个天然上限：装软件要权限、要服务器、要域名，IT 在网关和终端上能看见。现在这个上限没了。生成在浏览器里，数据存在服务商那边，地址栏里一个链接就是全部。
更麻烦的是漂移。作者下一次 prompt 加一张表、加一个登录、加一个分享链接，昨天无害的应用，今天装着客户记录。Claroc 举的例子是：一个应用同时存数据又不要登录，任何访客不仅能看，还能改、能删。
禁止不是策略，能执行的是三件事。
发现：把公司域名和常用 AI 建站服务的默认域名做一次子域枚举，只看首页、不登录，形成清单。默认值：新应用默认私有，含客户数据的必须走公司登录。退出：作者离职或项目结束时，应用要移交或下线，而不是留在那里等人发现。
三、模型文件也是资产，而且更难查
微软研究院那项叫 Lazarus 的研究，技术细节值得完整看一遍，因为它把"模型"从一种服务变成了一个需要入库管理的文件。
- 改动的规模：少于 10 个休眠神经元，不需要重新训练，只需要推理级别的算力——机器能跑这个模型，就能改它的权重。
- 隐蔽性：模型照常通过标准评测，行为一切正常，直到触发词出现。触发词可以是一个日期，比如 2027 年零点。
- 后果：智能体在普通任务中途输出一条命令，下载并运行攻击者的代码，用它被授予的权限执行。
- 前提条件：需要对该模型的 checkpoint 有写权限。一个被攻破的账号、一条流水线、一个存储桶就够了。
研究者自己写了一句话，值得抄进任何一份模型采购评审里：这不是反对开放权重的理由。攻击只需要写权限，企业内部自研的模型同样暴露；真正决定风险的是权重的完整性与来源。
检测有个硬约束：要可靠地发现改动，必须拿它和原始未修改的权重做 diff。所以"这个文件从哪来"不是合规文书问题，是能不能检测的前提。前沿智能体可以靠观察发现异常权重修改，但研究者也承认，权重扫描目前并不是常规动作。
厂商侧的应对是把来源绑死：微软 Foundry 在接入开放权重模型时，把模型与原始发布者绑定，容器单独扫描；同时在做权重扫描、模型签名与防篡改审计。这套思路和传统软件供应链一样——先证明来源，再谈行为。
如果企业答不出"这个模型文件从哪来、谁改过、什么时候改的"，它就不是资产，是敞口。
顺带一个细节：研究者说，这项攻击的大部分是 Claude Code 自己摸索出来的。同一批工具既在帮企业造系统，也在帮攻击者找缝。
四、台账加三类对象，补一条退役路径
传统的软件资产台账只回答一个问题：我买了什么、买了多少份、什么时候到期。今年至少要多回答两个：我的人造了什么，我的模型从哪来。
| 对象 | 现在记在哪 | 该记什么 | 责任角色 |
|---|---|---|---|
| 员工用 AI 生成的应用 | 通常没人记 | 发布域名、作者、数据分类、访问方式、最后活跃时间 | 业务负责人 + IT |
| 模型文件（开源权重与微调） | 模型目录或网盘 | 来源与发布者、文件哈希、许可证、微调记录、部署位置 | 平台 / 算法 |
| 喂给应用的数据 | 各业务系统 | 分类分级、是否含个人信息、保留期与删除方式 | 数据 Owner |
第三行最容易被当成"已经有人管了"。但影子应用的数据往往不在任何业务系统里——存在建站服务商的数据库里，企业没有备份，也没有删除凭据；离职交接时交不出去，也删不干净。
给 CIO 的三条动作：
- 先扫一次外部可达面，只看首页。范围包含公司域名与常用 AI 建站服务的默认域名；全程不登录、不提交表单、不调用接口。这一步不解决任何问题，但它会把"我们有没有这类东西"从猜测变成清单。
- 把默认私有写进使用规范，而不是写"禁止使用"。要求发布前选择"仅自己或受邀用户"，含客户数据、员工信息、医疗与财务信息的应用必须走公司登录；作者离职触发移交或下线。禁止只会把使用推到更隐蔽的地方。
- 模型入台账，三样东西必记。开源权重记来源与哈希，自研微调记训练数据与产出哈希，每次部署前与原始权重做 diff。这条也适用于从开源社区下载的每一个权重文件。
资产台账管的是"我买了什么"。从今年开始，它还得回答"我的人造了什么、我的模型从哪来"。前一个问题有采购单可查，后两个问题只能靠制度。
回到那 35,578 个链接。它们不是被攻破的，是被搭出来的——每一个都有人在里面认真地做着自己的工作。真正缺的不是安全意识，是一个在"发布"那一刻就生效的默认值，和一份在"离职"那一刻仍然有人接手的清单。
资料来源：Claroc Research《GhostShares 2: Grok Apps Exposed xAI's Business Secrets and People's Private Data》（2026-11-10，含 43,601 个子域、43,551 个尝试地址、37,571 个在线、35,578 个无登录、1,993 个 HTTP 401、24 个 SpaceXSI/X 员工应用、30 家组织分布、650–800 个含私人数据应用的估算及 SpaceXSI 回应）；Microsoft Research《Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents》（2026-11-10，含少于 10 个休眠神经元、无需训练、日期触发、仅需推理算力、权重 diff 与 Foundry 来源绑定说明）；AI Soda《每日 AI 热点 11 月 13 日》对两项研究的中文转述（2026-11-13）。
口径说明：应用数量、组织分布与敏感数据比例均引自 Claroc 报告，其方法为子域枚举后逐个加载首页、未登录访问，并以模型标记加人工复核抽样校正，属研究方估算而非全量审计。SpaceXSI 的"默认仅自己、发布需多步"为其对媒体陈述，Claroc 的"付费账号默认已选任何人持链接"为研究方在自有账号上的测试结果，两方说法并列呈现。Lazarus 的攻击链与检测条件引自微软研究院原文；截至原文发布，研究者称未发现实际利用案例，该表述为研究者口径。
