Tietovuotokäyttäytyminen on ristiriidassa "Local-First" -markkinoinnin kanssa

Tutkija tunnisti kaksi olennaisesti erilaista tiedonsiirtoreittiä, jotka poistuivat kehittäjän koneelta :

• Mallin vuorovaikutuskanava (POST /v1/responses): tiedostot, jotka agentti avasi, serialisoitiin mallipyyntöihin. Tämä on odotettua käytöstä pilvipohjaiselta koodausagentilta.
• Tallennuskanava (POST /v1/storage): koko repositorio paketoitiin itsenäisesti git bundleksi ja ladattiin noin 75 Mt:n paloissa Googlen Cloud Storage -säiliöön nimeltä grok-code-session-traces .

Tiedonsiirron määrän ero osoitti, ettei lataus johtunut siitä, mitä agentti luki. 12 Gt:n testirepositoriossa tallennuskanava siirsi 5,10 GiB 73 palassa (kaikki HTTP 200), kun taas mallin vuorovaikutuskanava siirsi vain 192 KB – noin 27 800-kertainen suhde . Vaikka kehote oli "vastaa OK, älä lue yhtään tiedostoa", työkalu latasi koko repositorion git bundlena; ladatun bundlen kloonaamalla palautui tiedosto (src/_probe/never_read_canary.txt), jota agentti oli nimenomaisesti kielletty avaamasta, sekä koko Git-commit-historia .

Salaisten tietojen ja tiedostojen tyypit, jotka lähetettiin ilman sensuuria

• .env-tiedostot, jotka sisälsivät API-avaimia, tietokantasanoja ja muita tunnistetietoja, lähetettiin sellaisenaan ilman maskausta tai salausta molempien kanavien kautta . Valvotuissa testeissä 48 kt:n tiedosto, joka sisälsi tietokantatunnukset ja API-avaimet, näkyi selväkielisenä pyynnön rungossa .
• Jokainen seurattu tiedosto repositoriossa sekä koko Git-historia (kaikki committit, haarat ja tagit) paketoitiin ja ladattiin . Tämä tarkoittaa, että jopa kuukausia sitten commitoidut ja myöhemmin vaihdetut salaisuudet saattavat yhä olla ladatussa datassa.
• Latausmekanismi tunnistettiin binäärissä olevaksi oman koodin Rust-kirjastoksi (xai-data-collector), jonka lähdepolut olivat crates/codegen/xai-data-collector/src/gcs.rs ja crates/codegen/xai-grok-shell/src/upload/ .
• 12 Gt:n oikeassa koodikannassa, jossa oli vain satunnaisia tiedostoja, tallennuspääte hyväksyi latauksia ilman kokorajoituksia; ainoat muut kuin 200-vastaukset olivat mallin käyttökiintiövirheitä (402/429), eivät tallennusvirheitä .

Opt-out-kytkimen epäonnistuminen

Tutkija testasi "Improve the model" -yksityisyyskytkintä ja havaitsi, ettei se pysäyttänyt latauksia .

• Kytkimen pois päältä kytkemisen ja uudelleenkäynnistyksen jälkeen palvelimen asetuspääte palautti edelleen trace_upload_enabled: true .
• Tallennuskanava jatkoi paloiteltujen git-bundle-latausten hyväksymistä HTTP 200 -vastauksilla .
• Harness-asetuksissa on olemassa disable_codebase_upload=true-konfiguraatiovaihtoehto, mutta sen suhde palvelimen toimintaan on dokumentoimaton, ja tutkijan testit osoittivat, ettei palvelin kunnioittanut asiakaspään asetuksia .

Suositellut toimenpiteet vaikutetuille kehittäjille

Alkuperäinen tutkija ja analyysijulkaisut suosittelevat seuraavaa :

Välittömät toimet tiimeille, jotka käyttivät Grok Build CLI:tä yksityisissä repositorioissa:

• Kierrä kaikki tunnistetiedot, jotka olivat missä tahansa .env-tiedostossa, konfiguraatiotiedostossa tai Git-historiassa repositorioissa, joita käytettiin Grok Buildin kanssa, koska ne on saatettu lähettää ja tallentaa grok-code-session-traces-GCS-säiliöön .
• Tarkasta Git-historia salaisuuksien varalta, jotka ovat saattaneet olla missä tahansa aiemmassa commitissa, koska CLI lähetti koko commit-historian .
• Oleta, että data tallennettiin, ei vain lähetetty – palvelin palautti HTTP 200:n kaikkiin tallennuspyyntöihin, mikä vahvistaa hyväksynnän .
• Kysy xAI:lta, onko säiliö poistettu, mitkä pääsynhallinnat olivat käytössä ja kattoiko sen tietojenkäsittelysopimus (DPA) – sellaista ei ollut julkaistu paljastuksen aikaan .

Arkkitehtuurilliset toimenpiteet mille tahansa koodausagentille:

• Aja agentit kontteina tai virtuaalikoneina, joihin on liitetty vain tehtäväkansio, ei kotihakemistoa, SSH-agenttia, Docker-sokkia eikä pilvitunnistekansioita .
• Ota käyttöön egress-valvonta: salli mallin inferenssipäätepisteet ja todennuspalvelimet, mutta estä suorat yleiset objektitallennuslataukset. Hälytä siirroista, jotka ylittävät 100 Mt .
• Käytä koko koneen pakettikaappausta, DNS-lokiusta ja verkkotelemetriaa havaitaksesi taustakoordinaattoriprosessien lataukset, jotka etualan tavulaskurit jättäisivät huomaamatta .
• Testaa minimi- ja maksimikehotteet verkkokaappauksen alla – tapaukset, joissa agenttia kielletään lukemasta tiedostoja, ovat kriittisiä konteksti-ikkunan ulkopuolisen tietovuodon havaitsemiseksi .
• Aja vähintään kolme kehotetapausta: (1) "vastaa OK, älä lue yhtään tiedostoa", (2) lue yksi tietty tiedosto, (3) tarkista projektin kieli – vertaa sitten tavuja päätepistettä kohti .

Tietovuotokäyttäytyminen on ristiriidassa "Local-First" -markkinoinnin kanssa

Tutkija tunnisti kaksi olennaisesti erilaista tiedonsiirtoreittiä, jotka poistuivat kehittäjän koneelta :

• Mallin vuorovaikutuskanava (POST /v1/responses): tiedostot, jotka agentti avasi, serialisoitiin mallipyyntöihin. Tämä on odotettua käytöstä pilvipohjaiselta koodausagentilta.
• Tallennuskanava (POST /v1/storage): koko repositorio paketoitiin itsenäisesti git bundleksi ja ladattiin noin 75 Mt:n paloissa Googlen Cloud Storage -säiliöön nimeltä grok-code-session-traces .

Tiedonsiirron määrän ero osoitti, ettei lataus johtunut siitä, mitä agentti luki. 12 Gt:n testirepositoriossa tallennuskanava siirsi 5,10 GiB 73 palassa (kaikki HTTP 200), kun taas mallin vuorovaikutuskanava siirsi vain 192 KB – noin 27 800-kertainen suhde . Vaikka kehote oli "vastaa OK, älä lue yhtään tiedostoa", työkalu latasi koko repositorion git bundlena; ladatun bundlen kloonaamalla palautui tiedosto (src/_probe/never_read_canary.txt), jota agentti oli nimenomaisesti kielletty avaamasta, sekä koko Git-commit-historia .

Salaisten tietojen ja tiedostojen tyypit, jotka lähetettiin ilman sensuuria

• .env-tiedostot, jotka sisälsivät API-avaimia, tietokantasanoja ja muita tunnistetietoja, lähetettiin sellaisenaan ilman maskausta tai salausta molempien kanavien kautta . Valvotuissa testeissä 48 kt:n tiedosto, joka sisälsi tietokantatunnukset ja API-avaimet, näkyi selväkielisenä pyynnön rungossa .
• Jokainen seurattu tiedosto repositoriossa sekä koko Git-historia (kaikki committit, haarat ja tagit) paketoitiin ja ladattiin . Tämä tarkoittaa, että jopa kuukausia sitten commitoidut ja myöhemmin vaihdetut salaisuudet saattavat yhä olla ladatussa datassa.
• Latausmekanismi tunnistettiin binäärissä olevaksi oman koodin Rust-kirjastoksi (xai-data-collector), jonka lähdepolut olivat crates/codegen/xai-data-collector/src/gcs.rs ja crates/codegen/xai-grok-shell/src/upload/ .
• 12 Gt:n oikeassa koodikannassa, jossa oli vain satunnaisia tiedostoja, tallennuspääte hyväksyi latauksia ilman kokorajoituksia; ainoat muut kuin 200-vastaukset olivat mallin käyttökiintiövirheitä (402/429), eivät tallennusvirheitä .

Opt-out-kytkimen epäonnistuminen

Tutkija testasi "Improve the model" -yksityisyyskytkintä ja havaitsi, ettei se pysäyttänyt latauksia .

• Kytkimen pois päältä kytkemisen ja uudelleenkäynnistyksen jälkeen palvelimen asetuspääte palautti edelleen trace_upload_enabled: true .
• Tallennuskanava jatkoi paloiteltujen git-bundle-latausten hyväksymistä HTTP 200 -vastauksilla .
• Harness-asetuksissa on olemassa disable_codebase_upload=true-konfiguraatiovaihtoehto, mutta sen suhde palvelimen toimintaan on dokumentoimaton, ja tutkijan testit osoittivat, ettei palvelin kunnioittanut asiakaspään asetuksia .

Suositellut toimenpiteet vaikutetuille kehittäjille

Alkuperäinen tutkija ja analyysijulkaisut suosittelevat seuraavaa :

Välittömät toimet tiimeille, jotka käyttivät Grok Build CLI:tä yksityisissä repositorioissa:

• Kierrä kaikki tunnistetiedot, jotka olivat missä tahansa .env-tiedostossa, konfiguraatiotiedostossa tai Git-historiassa repositorioissa, joita käytettiin Grok Buildin kanssa, koska ne on saatettu lähettää ja tallentaa grok-code-session-traces-GCS-säiliöön .
• Tarkasta Git-historia salaisuuksien varalta, jotka ovat saattaneet olla missä tahansa aiemmassa commitissa, koska CLI lähetti koko commit-historian .
• Oleta, että data tallennettiin, ei vain lähetetty – palvelin palautti HTTP 200:n kaikkiin tallennuspyyntöihin, mikä vahvistaa hyväksynnän .
• Kysy xAI:lta, onko säiliö poistettu, mitkä pääsynhallinnat olivat käytössä ja kattoiko sen tietojenkäsittelysopimus (DPA) – sellaista ei ollut julkaistu paljastuksen aikaan .

Arkkitehtuurilliset toimenpiteet mille tahansa koodausagentille:

• Aja agentit kontteina tai virtuaalikoneina, joihin on liitetty vain tehtäväkansio, ei kotihakemistoa, SSH-agenttia, Docker-sokkia eikä pilvitunnistekansioita .
• Ota käyttöön egress-valvonta: salli mallin inferenssipäätepisteet ja todennuspalvelimet, mutta estä suorat yleiset objektitallennuslataukset. Hälytä siirroista, jotka ylittävät 100 Mt .
• Käytä koko koneen pakettikaappausta, DNS-lokiusta ja verkkotelemetriaa havaitaksesi taustakoordinaattoriprosessien lataukset, jotka etualan tavulaskurit jättäisivät huomaamatta .
• Testaa minimi- ja maksimikehotteet verkkokaappauksen alla – tapaukset, joissa agenttia kielletään lukemasta tiedostoja, ovat kriittisiä konteksti-ikkunan ulkopuolisen tietovuodon havaitsemiseksi .
• Aja vähintään kolme kehotetapausta: (1) "vastaa OK, älä lue yhtään tiedostoa", (2) lue yksi tietty tiedosto, (3) tarkista projektin kieli – vertaa sitten tavuja päätepistettä kohti .