11 月 10 日，安全研究公司 Claroc 發布了一份報告。他們在 grok.me 這個網域下用常見的子網域列舉方法找到 43,601 個應用名字，然後逐個開啟首頁，全程不登入。
43,551 個地址有回應，37,571 個還在線，其中 35,578 個（94.7%）不需要登入就能開啟。只有 1,993 個（5.3%）傳回 HTTP 401。
同一天，微軟研究院發布了另一項研究：改掉模型裡不到 10 個平時幾乎不激活的神經元，不用重新訓練，就能給建在它上面的智能體埋一個後門；觸發詞可以平常到一個日期，比如時鐘走過 2027 年零點。
兩條消息隔著半個地球，指向同一件事：企業資產台帳的邊界今年被撐開了兩圈——一圈是員工自己造的系統，一圈是模型文件本身。
一、發布按鈕的預設值，就是企業的暴露面
先把口徑擺清楚。這份研究的數字是一層一層收窄的，每一層的含義都不同：
| 口徑層級 | 數量 | 含義 |
|---|---|---|
| 子域發現 | 43,601 | 常見子域列舉列出 grok.me 下的應用名字 |
| 嘗試訪問 | 43,551 | 逐個載入首頁，全程未登入 |
| 仍在線 | 37,571 | 有正常回應 |
| 無需登入即可開啟 | 35,578（94.7%） | 任何人拿到連結都能看 |
| 需登入 | 1,993（5.3%） | 返回 HTTP 401，說明設定了"僅自己"或"受邀使用者" |
真正有分量的不是總數，是裡面有什麼。在被開啟的應用中，有 24 個由 SpaceXSI（原 xAI）與 X 的員工自己搭建：一份標著「機密」的新員工入職計畫、一張覆蓋 594 個戰略客戶的銷售區域與管道地圖、8 份廣告提案與媒體計畫（其中一份發給美國聯邦機構，標註 Confidential）、4 個廣告主帳戶看板（其中一個在追蹤 160 萬美元的銷售目標）、7 份巴西日本韓國泰國的投放報告、2 份品牌安全手冊。
除這兩家公司外，還有 30 家可識別的組織把內部資料放在公開應用裡：26 家員工超過 1,000 人，6 家是財富 500 強；18 家在美國，12 家分布在其他 11 個國家。行業上建築與房地產 7 家最多，能源與公用事業 5 家次之，其餘分散在科技、醫療、交通、旅遊、國防、製造與汽車金融。
Claroc 的估算口徑是：約十分之一的公開應用含敏感材料、內部業務數據或個人數據，約 2% 嚴重到"高"或"臨界"；按模型標記加人工複核的抽樣校正，含私人數據的應用大約 650 到 800 個。
37,571 個線上 Grok 應用中，無需登入即可開啟的比例（Claroc Research，2026-11-10）
SpaceXSI 的回應是：員工帳號預設"僅自己"，發布要經過點擊發布、選擇地址、再點發布、在"僅自己"與"任何人持連結"之間選擇、接受法律聲明、最後再點一次發布。
Claroc 沒有否認這些步驟，但反駁了另一點：在他們使用的付費帳號裡，走到那一步時，「任何人持連結」已經是選中狀態。而且最有力的反證就在 SpaceXSI 自己身上——公司說員工應用預設私有，可它自己員工搭的 24 個應用仍然是公開的，直到報告發出後才下架。
多幾步點擊
是操作負擔，不是存取控制。路徑終點已經選好「所有人」，走完每一步的人依然會公開。
默認私有
是安全策略。要公開必須主動改，改的人知道自己在做什麼，且留下可追溯的動作。
二、這些應用在做真活，禁不掉
Claroc 手工確認的樣本裡，有幾件事很具體：一家醫院集團 3,500 多名員工的活動名冊，可搜尋；一份重症監護病人的簡報，含化驗、影像和呼吸機狀態；一艘郵輪的廚房檢查清單，列著船員的姓名與工號；一個消防局的值班板，寫著每名消防員的姓名、警號和值班時長；一家貨運公司 1,000 多人的司機招聘名單，含法定姓名和個人郵箱；還有一份承包商工時表，腳本檔案裡存著 18 個帳號的明文密碼，包括管理員。
這些不是玩具。它們替代的正是採購軟體本該提供的功能：銷售管道、排班、名冊、檢驗清單、工時統計。區別只在於，這些是員工在聊天視窗裡幾分鐘生成的，發布也在同一個窗口完成，不裝機、不報批、不經過 IT 的任何一道關。
採購來的軟體
公司登入、角色劃分、管理員能看到誰有存取權、有離職回收、有退役流程。慢，但這些是它的功能。
AI 生成的應用
一個連結。誰有連結誰能看，作者往往就是業務負責人，離職後應用還在，沒人知道它存在。
過去的影子 IT 有一個天然上限：裝軟體要權限、要伺服器、要網域，IT 在閘道和終端上能看見。現在這個上限沒了。生成在瀏覽器裡，資料存在服務商那邊，網址列裡一個連結就是全部。
更麻煩的是漂移。作者下一次 prompt 加一張表、加一個登入、加一個分享連結，昨天無害的應用，今天裝著客戶記錄。Claroc 舉的例子是：一個應用同時存數據又不要登入，任何訪客不僅能看，還能改、能刪。
禁止不是策略，能執行的是三件事。
發現：把公司網域和常用 AI 建站服務的預設網域做一次子網域列舉，只看首頁、不登入，形成清單。預設值：新應用程式預設為私有，含客戶資料的必須走公司登入。退出：作者離職或專案結束時，應用程式要移交或下線，而不是留在那裡等人發現。
三、模型文件也是資產，而且更難查
微軟研究院那項叫 Lazarus 的研究，技術細節值得完整看一遍，因為它把「模型」從一種服務變成了一個需要入庫管理的文件。
- 改動的規模：少於 10 個休眠神經元，不需要重新訓練，只需要推理級別的算力——機器能跑這個模型，就能改它的權重。
- 隱蔽性：模型照常通過標準評測，行為一切正常，直到觸發詞出現。觸發詞可以是一個日期，比如 2027 年零點。
- 後果：智能體在普通任務中途輸出一條命令，下載並運行攻擊者的程式碼，用它被授予的權限執行。
- 前提條件：需要對該模型的 checkpoint 有寫權限。一個被攻破的帳號、一條流水線、一個儲存桶就夠了。
研究者自己寫了一句話，值得抄進任何一份模型採購評審裡：這不是反對開放權重的理由。攻擊只需要寫權限，企業內部自研的模型同樣暴露；真正決定風險的是權重的完整性與來源。
檢測有個硬約束：要可靠地發現改動，必須拿它和原始未修改的權重做 diff。所以「這個文件從哪來」不是合規文書問題，是能不能檢測的前提。前沿智能體可以靠觀察發現異常權重修改，但研究者也承認，權重掃描目前並不是常規動作。
廠商側的應對是把來源綁死：微軟 Foundry 在接入開放權重模型時，把模型與原始發布者綁定，容器單獨掃描；同時在做權重掃描、模型簽章與防竄改稽核。這套思路和傳統軟體供應鏈一樣——先證明來源，再談行為。
如果企業答不出「這個模型檔案從哪裡來、誰改過、什麼時候改的」，它就不是資產，而是曝險。
順帶一個細節：研究者說，這項攻擊的大部分是 Claude Code 自己摸索出來的。同一批工具既在幫企業造系統，也在幫攻擊者找縫。
四、臺賬加三類對象，補一條退役路徑
傳統的軟體資產台帳只回答一個問題：我買了什麼、買了多少份、什麼時候到期。今年至少要多回答兩個：我的人造了什麼，我的模型從哪來。
| 對象 | 現在記在哪 | 該記什麼 | 責任角色 |
|---|---|---|---|
| 員工用 AI 生成的應用 | 通常沒人記 | 發布網域、作者、資料分類、存取方式、最後活躍時間 | 業務負責人 + IT |
| 模型檔案（開源權重與微調） | 模型目錄或網盤 | 來源與發布者、檔案雜湊、許可證、微調記錄、部署位置 | 平台 / 算法 |
| 餵給應用程式的資料 | 各業務系統 | 分類分級、是否含個人資訊、保留期與刪除方式 | 資料 Owner |
第三行最容易被當成"已經有人管了"。但影子應用的資料往往不在任何業務系統裡——存在建站服務商的資料庫裡，企業沒有備份，也沒有刪除憑據；離職交接時交不出去，也刪不乾淨。
給 CIO 的三條動作：
- 先掃一次外部可達面，只看首頁。範圍包含公司網域與常用 AI 建站服務的預設網域；全程不登入、不提交表單、不呼叫介面。這一步不解決任何問題，但它會把「我們有沒有這類東西」從猜測變成清單。
- 把預設私有寫進使用規範，而不是寫「禁止使用」。要求發布前選擇「僅自己或受邀使用者」，含客戶資料、員工資訊、醫療與財務資訊的應用程式必須走公司登入；作者離職觸發移交或下線。禁止只會把使用推到更隱蔽的地方。
- 模型入台賬，三樣東西必記。開源權重記來源與哈希，自研微調記訓練資料與產出哈希，每次部署前與原始權重做 diff。這條也適用於從開源社群下載的每一個權重檔案。
資產台賬管的是「我買了什麼」。從今年開始，它還得回答「我的人造了什麼、我的模型從哪來」。前一個問題有採購單可查，後兩個問題只能靠制度。
回到那 35,578 個連結。它們不是被攻破的，是被搭出來的——每一個都有人在裡面認真地做著自己的工作。真正缺的不是安全意識，是一個在「發布」那一刻就生效的預設值，和一份在「離職」那一刻仍然有人接手的清單。
資料來源：Claroc Research《GhostShares 2: Grok Apps Exposed xAI's Business Secrets and People's Private Data》（2026-11-10，含 43,601 個子網域、43,551 個嘗試位址、37,571 個在線、35,578 個無登入、1,993 個 HTTP 401、24 個 SpaceXSI/X 員工應用、30 家組織分佈、650–800 個含私人資料應用的估算及 SpaceXSI 回應）；Microsoft Research《Lazare, veni foras: Reprogramming Dormant Neurons to Backdoor AI Agents》（2026-11-10，含少於 10 個休眠神經元、無需訓練、日期觸發、僅需推理算力、權重 diff 與 Foundry 來源綁定說明）；AI Soda《每日 AI 熱點 11 月 13 日》對兩項研究的中文轉述（2026-11-13）。
口徑說明：應用數量、組織分佈與敏感資料比例均引自 Claroc 報告，其方法為子網域枚舉後逐一載入首頁、未登入存取，並以模型標記加人工複核抽樣校正，屬研究方估算而非全量稽核。SpaceXSI 的「預設僅自己、發布需多步」為其對媒體陳述，Claroc 的「付費帳號預設已選任何人持連結」為研究方在自有帳號上的測試結果，兩方說法並列呈現。Lazarus 的攻擊鏈與偵測條件引自微軟研究院原文；截至原文發布，研究者稱未發現實際利用案例，該表述為研究者口徑。
