Datenexfiltrations-Verhalten widerspricht dem „Local-First"-Marketing

Der Forscher identifizierte zwei grundlegend unterschiedliche Datenpfade, die den Rechner des Entwicklers verließen :

• Der Modell-Pfad (POST /v1/responses): Dateien, die der Agent öffnete, wurden in die Modellanfragen serialisiert. Dies entspricht dem erwarteten Verhalten eines Cloud-Coding-Agenten.
• Der Storage-Pfad (POST /v1/storage): Das gesamte Repository wurde unabhängig davon als Git-Bundle verpackt und in etwa 75 MB großen Blöcken an einen Google-Cloud-Storage-Bucket namens grok-code-session-traces hochgeladen .

Das Größenverhältnis beweist, dass der Upload nicht durch das vom Agenten Gelesene verursacht wurde. Bei einem 12 GB großen Test-Repository bewegte der Storage-Pfad 5,10 GiB in 73 Blöcken (alle mit HTTP 200), während der Modell-Pfad nur 192 KB übertrug – ein Verhältnis von etwa 27.800:1 . Selbst bei der Anweisung „Antworte OK, lies keine Dateien" lud das Tool das gesamte Repository als Git-Bundle hoch; ein Klon des abgefangenen Bundles stellte eine Datei (src/_probe/never_read_canary.txt) wieder her, die der Agent explizit nicht öffnen sollte, sowie die vollständige Git-Commit-Historie .

Arten von Geheimnissen und Dateien, die ohne Schwärzung übertragen wurden

• .env-Dateien mit API-Keys, Datenbankpasswörtern und anderen Zugangsdaten wurden durch beide Kanäle wörtlich, ohne Maskierung oder Schwärzung übertragen . In kontrollierten Tests erschien eine 48 KB große Datei mit Datenbankzugangsdaten und API-Keys im Klartext im Request-Body .
• Jede getrackte Datei im Repository sowie die vollständige Git-Historie (alle Commits, Branches, Tags) wurden gebündelt und hochgeladen . Das bedeutet, dass selbst vor Monaten eingecheckte und später rotierte Secrets in den hochgeladenen Daten vorhanden sein könnten.
• Die Upload-Mechanik wurde als Eigenentwicklung in Rust (xai-data-collector) identifiziert, die in der Binärdatei enthalten ist, mit Quellpfaden wie crates/codegen/xai-data-collector/src/gcs.rs und crates/codegen/xai-grok-shell/src/upload/ .
• Bei einer echten 12 GB großen Codebasis mit nie gelesenen Zufallsdateien akzeptierte der Storage-Endpoint die Uploads ohne größenbasierte Ablehnung; die einzigen Nicht-200-Antworten waren Quotenfehler zur Modellnutzung (402/429), keine Speicherfehler .

Der Opt-Out-Schalter versagt

Der Forscher testete den Datenschutz-Schalter „Improve the model" und stellte fest, dass er die Uploads nicht stoppte .

• Nach dem Deaktivieren des Schalters und einem Neustart gab der Server-Settings-Endpoint immer noch trace_upload_enabled: true zurück .
• Der Storage-Kanal akzeptierte weiterhin die hochgeladenen Git-Bundle-Blöcke mit HTTP 200 .
• Eine Konfigurationsoption disable_codebase_upload=true existiert in den Harness-Einstellungen, aber ihr Zusammenhang mit dem Serververhalten ist undokumentiert, und die Tests des Forschers zeigten, dass der Server die Client-seitigen Präferenzen nicht respektierte .

Empfohlene Maßnahmen für betroffene Entwickler

Der ursprüngliche Forscher und nachfolgende Analyse-Outlets empfehlen Folgendes :

Sofortmaßnahmen für Teams, die Grok Build CLI auf privaten Repos verwendet haben:

• Rotieren Sie alle Zugangsdaten, die in irgendeiner .env-Datei, Konfigurationsdatei oder Git-Historie in den mit Grok Build verwendeten Repositories vorhanden waren, da sie möglicherweise übertragen und im GCS-Bucket grok-code-session-traces gespeichert wurden .
• Überprüfen Sie die Git-Historie auf Secrets, die in einem früheren Commit vorhanden gewesen sein könnten, da die CLI die vollständige Commit-Historie gesendet hat .
• Gehen Sie davon aus, dass die Daten gespeichert wurden, nicht nur übertragen – der Server antwortete auf alle Storage-Anfragen mit HTTP 200, was die Annahme bestätigt .
• Fragen Sie bei xAI an, ob der Bucket gelöscht wurde, welche Zugriffskontrollen existierten und ob eine Datenverarbeitungsvereinbarung (DPA) vorlag (zum Zeitpunkt der Offenlegung war keine veröffentlicht) .

Architektonische Maßnahmen für jeden Coding-Agenten:

• Führen Sie Agenten in Containern/VMs aus, in denen nur das Aufgabenverzeichnis eingehängt ist, kein Home-Verzeichnis, kein SSH-Agent, kein Docker-Socket und keine Cloud-Zugangsdaten-Verzeichnisse exponiert sind .
• Implementieren Sie Egress-Kontrollen: Erlauben Sie Modell-Inferenz-Endpoints und Authentifizierungs-Hosts, verbieten Sie jedoch direkte, generische Object-Storage-Uploads. Lösen Sie Alarm bei Transfers über 100 MB aus .
• Nutzen Sie systemweiten Paketmitschnitt, DNS-Logging und Endpunkt-Netzwerktelemetrie, um Uploads durch Hintergrund-Koordinator-Prozesse zu erkennen, die von oberflächlichen Byte-Zählern übersehen werden .
• Testen Sie minimale und maximale Prompts unter Netzwerkerfassung – Fälle, in denen der Agent angewiesen wird, keine Dateien zu lesen, sind entscheidend für die Erkennung von Exfiltration über das Kontextfenster hinaus .
• Führen Sie mindestens drei Prompt-Fälle aus: (1) „Antworte OK, lies keine Dateien", (2) lese eine bestimmte Datei, (3) überprüfe die Projektsprache – und vergleichen Sie dann die Bytes pro Endpoint .

Datenexfiltrations-Verhalten widerspricht dem „Local-First"-Marketing

Der Forscher identifizierte zwei grundlegend unterschiedliche Datenpfade, die den Rechner des Entwicklers verließen :

• Der Modell-Pfad (POST /v1/responses): Dateien, die der Agent öffnete, wurden in die Modellanfragen serialisiert. Dies entspricht dem erwarteten Verhalten eines Cloud-Coding-Agenten.
• Der Storage-Pfad (POST /v1/storage): Das gesamte Repository wurde unabhängig davon als Git-Bundle verpackt und in etwa 75 MB großen Blöcken an einen Google-Cloud-Storage-Bucket namens grok-code-session-traces hochgeladen .

Das Größenverhältnis beweist, dass der Upload nicht durch das vom Agenten Gelesene verursacht wurde. Bei einem 12 GB großen Test-Repository bewegte der Storage-Pfad 5,10 GiB in 73 Blöcken (alle mit HTTP 200), während der Modell-Pfad nur 192 KB übertrug – ein Verhältnis von etwa 27.800:1 . Selbst bei der Anweisung „Antworte OK, lies keine Dateien" lud das Tool das gesamte Repository als Git-Bundle hoch; ein Klon des abgefangenen Bundles stellte eine Datei (src/_probe/never_read_canary.txt) wieder her, die der Agent explizit nicht öffnen sollte, sowie die vollständige Git-Commit-Historie .

Arten von Geheimnissen und Dateien, die ohne Schwärzung übertragen wurden

• .env-Dateien mit API-Keys, Datenbankpasswörtern und anderen Zugangsdaten wurden durch beide Kanäle wörtlich, ohne Maskierung oder Schwärzung übertragen . In kontrollierten Tests erschien eine 48 KB große Datei mit Datenbankzugangsdaten und API-Keys im Klartext im Request-Body .
• Jede getrackte Datei im Repository sowie die vollständige Git-Historie (alle Commits, Branches, Tags) wurden gebündelt und hochgeladen . Das bedeutet, dass selbst vor Monaten eingecheckte und später rotierte Secrets in den hochgeladenen Daten vorhanden sein könnten.
• Die Upload-Mechanik wurde als Eigenentwicklung in Rust (xai-data-collector) identifiziert, die in der Binärdatei enthalten ist, mit Quellpfaden wie crates/codegen/xai-data-collector/src/gcs.rs und crates/codegen/xai-grok-shell/src/upload/ .
• Bei einer echten 12 GB großen Codebasis mit nie gelesenen Zufallsdateien akzeptierte der Storage-Endpoint die Uploads ohne größenbasierte Ablehnung; die einzigen Nicht-200-Antworten waren Quotenfehler zur Modellnutzung (402/429), keine Speicherfehler .

Der Opt-Out-Schalter versagt

Der Forscher testete den Datenschutz-Schalter „Improve the model" und stellte fest, dass er die Uploads nicht stoppte .

• Nach dem Deaktivieren des Schalters und einem Neustart gab der Server-Settings-Endpoint immer noch trace_upload_enabled: true zurück .
• Der Storage-Kanal akzeptierte weiterhin die hochgeladenen Git-Bundle-Blöcke mit HTTP 200 .
• Eine Konfigurationsoption disable_codebase_upload=true existiert in den Harness-Einstellungen, aber ihr Zusammenhang mit dem Serververhalten ist undokumentiert, und die Tests des Forschers zeigten, dass der Server die Client-seitigen Präferenzen nicht respektierte .

Empfohlene Maßnahmen für betroffene Entwickler

Der ursprüngliche Forscher und nachfolgende Analyse-Outlets empfehlen Folgendes :

Sofortmaßnahmen für Teams, die Grok Build CLI auf privaten Repos verwendet haben:

• Rotieren Sie alle Zugangsdaten, die in irgendeiner .env-Datei, Konfigurationsdatei oder Git-Historie in den mit Grok Build verwendeten Repositories vorhanden waren, da sie möglicherweise übertragen und im GCS-Bucket grok-code-session-traces gespeichert wurden .
• Überprüfen Sie die Git-Historie auf Secrets, die in einem früheren Commit vorhanden gewesen sein könnten, da die CLI die vollständige Commit-Historie gesendet hat .
• Gehen Sie davon aus, dass die Daten gespeichert wurden, nicht nur übertragen – der Server antwortete auf alle Storage-Anfragen mit HTTP 200, was die Annahme bestätigt .
• Fragen Sie bei xAI an, ob der Bucket gelöscht wurde, welche Zugriffskontrollen existierten und ob eine Datenverarbeitungsvereinbarung (DPA) vorlag (zum Zeitpunkt der Offenlegung war keine veröffentlicht) .

Architektonische Maßnahmen für jeden Coding-Agenten:

• Führen Sie Agenten in Containern/VMs aus, in denen nur das Aufgabenverzeichnis eingehängt ist, kein Home-Verzeichnis, kein SSH-Agent, kein Docker-Socket und keine Cloud-Zugangsdaten-Verzeichnisse exponiert sind .
• Implementieren Sie Egress-Kontrollen: Erlauben Sie Modell-Inferenz-Endpoints und Authentifizierungs-Hosts, verbieten Sie jedoch direkte, generische Object-Storage-Uploads. Lösen Sie Alarm bei Transfers über 100 MB aus .
• Nutzen Sie systemweiten Paketmitschnitt, DNS-Logging und Endpunkt-Netzwerktelemetrie, um Uploads durch Hintergrund-Koordinator-Prozesse zu erkennen, die von oberflächlichen Byte-Zählern übersehen werden .
• Testen Sie minimale und maximale Prompts unter Netzwerkerfassung – Fälle, in denen der Agent angewiesen wird, keine Dateien zu lesen, sind entscheidend für die Erkennung von Exfiltration über das Kontextfenster hinaus .
• Führen Sie mindestens drei Prompt-Fälle aus: (1) „Antworte OK, lies keine Dateien", (2) lese eine bestimmte Datei, (3) überprüfe die Projektsprache – und vergleichen Sie dann die Bytes pro Endpoint .