研究人员发现 Grok Build 将整个代码库上传至谷歌云

据网络安全公司 Cereblab 称，SpaceXAI 的 Grok Build CLI 工具曾将用户的整个代码仓库打包并上传至谷歌云，包括被告知忽略的文件以及从 git 历史中删除的密钥。该公司在调查结果公开后已禁用上传功能。

研究人员于周一报告称，SpaceXAI 的服务器现在返回 disable_codebase_upload: true 标志，代码库上传“不再触发。”保留的数据量远多于类似工具（如 Claude Code）通常处理的数量。

埃隆·马斯克在 X 上回应称，所有之前上传的数据将被“完全彻底删除。”他还请求用户允许 SpaceXAI 保留其数据，称这对“调试问题有帮助，”并坚称“隐私设置始终受到尊重。”

伦敦国王学院的独立安全研究员 Lukasz Olejnik 博士向 The Verge 证实，这种数据保留水平“过度。”他警告称，可能面临风险的数据包括“专有源代码、安全漏洞信息、个人数据、基础设施细节、[以及]凭据。”

SpaceXAI 最初回应称，用户可以使用 /privacy 命令来禁用数据保留并删除之前同步的数据。然而，Cereblab 反驳说，/privacy 是一个“每次会话的保留切换开关”，而不是修复上传问题的开关，不应被指为控制选项。

这一事件引发了关于 AI 编码工具默认收集和存储哪些数据的严重质疑，尤其是当它们拥有对用户完整开发环境的 CLI 级访问权限时。对于使用过 Grok Build 的开发人员来说，谨慎的做法是轮换凭据并审计任何可能已暴露的密钥。