Grok Build estaba subiendo bases de código completas a Google Cloud, según investigadores

La herramienta CLI Grok Build de SpaceXAI estaba empaquetando y subiendo repositorios completos de código de los usuarios a Google Cloud, incluidos archivos que se le indicó ignorar y secretos eliminados del historial de git, según la firma de ciberseguridad Cereblab. La compañía ha desactivado ahora la función de subida después de que los hallazgos se hicieran públicos.

Los investigadores informaron el lunes que los servidores de SpaceXAI ahora devuelven un flag disable_codebase_upload: true, y que la subida de la base de código "ya no se activa." La cantidad de datos retenidos era significativamente mayor que la que suelen manejar herramientas similares como Claude Code.

Elon Musk respondió en X, afirmando que todos los datos subidos anteriormente serán "completa y absolutamente eliminados." También pidió a los usuarios que permitan a SpaceXAI conservar sus datos, diciendo que es "útil para depurar problemas," e insistió en que "la configuración de privacidad siempre se respeta."

El Dr. Lukasz Olejnik, investigador independiente de seguridad en el King's College de Londres, confirmó a The Verge que este nivel de retención de datos es "excesivo." Advirtió que los datos potencialmente en riesgo podrían incluir "código fuente propietario, información sobre vulnerabilidades de seguridad, datos personales, detalles de infraestructura [y] credenciales."

SpaceXAI inicialmente respondió señalando a los usuarios el comando /privacy, que según dijo podía desactivar la retención de datos y eliminar los datos sincronizados previamente. Sin embargo, Cereblab replicó que /privacy es un "interruptor de retención por sesión", no el control que solucionó el problema de subida, y que no debería haber sido señalado como tal.

El incidente plantea serias preguntas sobre qué datos están recopilando y almacenando por defecto las herramientas de codificación con IA, especialmente cuando operan con acceso a nivel de CLI a todo el entorno de desarrollo de un usuario. Para los desarrolladores que usaron Grok Build, el paso prudente ahora es rotar credenciales y auditar cualquier secreto que pueda haber quedado expuesto.