名字和图标一样，无法证明安装包是真的。收到一个所谓最新版，可以按下载来源、签名和安装后的权限检查。三处有一处说不清楚，就先暂停安装，去官方入口拿对应版本。

第一招：用官方分发入口反查

安卓看 Google Play 的 ai.x.grok.bot，iPhone 看 App Store 编号 6794501026。电脑从 xAI 的 Grok Bot 页面下载。网盘文件或聊天附件如果不能从官方入口对应过去，就把它当作未知来源。对方说「我从商店提取的」，也要能说明版本、来源和签名。

第二招：查签名，别只对包名

有 Android SDK 时，可以运行 apksigner verify --print-certs 文件名.apk。验证成功说明签名完整，还要和可信的官方签名指纹比对，才能判断是不是原发行方。没有可信基准时，不必为了装这一份包关掉安全检查。系统弹出明确拦截，就先确认原提示。

第三招：启动后先确认它要了什么权限

只是打开 Bot 欢迎页，却要求读取短信、开启无障碍或交出系统管理权限，先不要同意。已经装过可疑版本的人，可以从系统应用信息看权限和安装来源。如果在里面填过密码或验证码，再从官方入口检查账号和会话。

三步里最省时间的仍是第一步。从原始渠道重新下载，能先把大部分来源疑问排除。官方版本再出问题，接着按系统或登录提示查，比在一堆同名包里试更容易定位。