xAI的Grok Build CLI可将Git仓库上传至Google Cloud存储桶

背景

xAI 推出的 Grok Build CLI 是一款面向开发者的命令行工具，旨在帮助用户利用 Grok 模型进行代码构建和任务自动化。该工具被宣传为“本地优先”（local-first），意味着代码处理应在用户本地完成，以保护隐私和数据安全。然而，安全研究员 cereblab 在测试中发现，Grok Build CLI 0.2.93 版本在后台将整个 Git 仓库（包括完整历史记录）上传至 xAI 控制的 Google Cloud Storage 存储桶（名为 grok-code-session-traces），且该行为未经用户明确知情或同意。xAI 在事件曝光后以静默方式通过服务器端标志修复了该问题，但未发布任何安全公告或说明，也未回应已上传代码的处理方式。

核心内容

安全研究员 cereblab 在 macOS 上使用拦截代理 mitmproxy 对 Grok Build CLI 0.2.93 版本进行流量分析，并将捕获的数据包以公开 Gist 形式发布。分析显示，该工具会将当前工作目录下的整个 Git 仓库（包括所有历史记录）打包，并上传至名为 grok-code-session-traces 的 Google Cloud Storage 存储桶。这一上传行为独立于 Grok 模型实际为编码任务所打开的文件。量化对比：在一个 12GB 的测试仓库中，模型请求通道实际传输的任务相关流量仅约 192KB，而存储上传的流量却高达约 5.1GB。这意味着工具传输的不是完成任务所需的最小数据，而是整个代码库。

研究员在测试仓库的 .env 文件中放置了一个测试用的凭据（canary credential），该凭据在捕获的流量中原样出现，未经过任何编辑或脱敏。由于 CLI 会无条件上传运行所在的整个仓库，任何将 Grok Build 指向私有或专有代码库的团队，都会在无告知的情况下向 xAI 发送一份源代码历史、凭据和秘钥的副本。

Grok Build 内置了一个“Improve the model”开关，大多数开发者会将其理解为数据收集控制选项。然而，关闭该开关并未阻止上传——服务器响应仍返回 trace_upload_enabled: true，仓库上传照常进行。该设置实际控制的是“训练同意”，而非代码是否离开本地机器。存储桶及上传行为在 Grok Build 的官方文档中完全未提及。

事件曝光一天后，研究员使用同一 0.2.93 客户端重新测试，发现服务器现在返回 disable_codebase_upload: true 和 trace_upload_enabled: false。在六次重复测试中，未观察到任何仓库上传。这表明 xAI 在曝光后故意部署了服务器端缓解措施，以远程方式静默启用。不过，该缓解措施仅在一台机器和一个账户上得到验证，尚不能确认是全局、分阶段还是永久性修复。同时，研究员明确指出，捕获数据并不能证明 xAI 确实使用上传的代码进行训练、员工查看了这些代码，或者每个账户都收到了相同的配置。这是一个关于未披露的数据收集行为的发现，而非已确认的滥用行为。

xAI 方面完全保持沉默：未发布安全公告，未解释上传的目的、范围或保留期限，未说明已存储在 grok-code-session-traces 中的仓库是否会删除。官方更新日志显示 0.2.98 版本为 2026 年 7 月 12 日发布的最新版本，但完全未提及仓库上传行为。

关键要点

• 未披露的数据收集：Grok Build CLI 0.2.93 会完整上传整个 Git 仓库（包含完整历史）至 xAI 的 Google Cloud Storage 存储桶，该行为在文档中未提及，且与模型任务所需的最小数据传输量（约 192KB）相比，上传量巨大（约 5.1GB）。
• 凭据泄露风险：研究员放置的测试凭据在流量中明文暴露，验证了工具上传了包含敏感信息（如 .env 文件中的凭据）的完整仓库，对使用私有代码库的团队构成严重安全威胁。
• “改善模型”开关无效：关闭“Improve the model”选项并未阻止上传，服务器端仍返回 trace_upload_enabled: true，表明该开关仅控制训练同意，而非代码是否离开本地。
• 静默修复：xAI 在曝光后一天内通过服务器端标志（disable_codebase_upload: true）停止上传，但未发布任何安全公告、更新日志说明或对已收集数据的处理声明。
• 修复范围不明确：缓解措施仅在一台机器和一个账户上验证通过，无法确认是全局、分阶段还是永久性生效，且未提供任何官方确认。
• xAI 完全沉默：xAI 未就上传目的、数据保留、删除计划或安全事件发布任何说明，官方更新日志对仓库上传行为只字未提。

意义与影响

1. 对开发者信任的冲击：Grok Build 被宣传为“本地优先”，但实际行为与之矛盾，且上传行为未经用户同意。这严重损害了 xAI 在开发者社区中的信誉，并可能引发对 AI 工具数据隐私承诺的普遍怀疑。
2. 数据安全与合规风险：企业若使用 Grok Build 处理私有代码库，则可能将源代码、API 密钥、凭据等敏感信息未加密地传输至第三方云存储，这违反了数据保护法规（如欧盟 GDPR、美国加州 CCPA 等）中的“数据最小化”和“知情同意”原则，可能面临法律风险。
3. 行业透明度缺失的警示：xAI 选择静默修复而非公开披露，回避了已收集数据如何处理的问题。这凸显了AI 工具在数据收集和使用方面缺乏行业标准与监管问责的现状，也提醒开发者应对第三方工具进行主动的安全审计，而非依赖厂商的承诺。
4. 对开源与安全社区的启示：安全研究员通过公开流量分析揭示问题，并验证了修复措施，展示了社区驱动安全审计的价值。同时，该事件也提醒开发者，仅依赖工具内置的“隐私开关”可能不够，需要结合网络监控、访问控制等手段来保护代码资产。