「ローカルファースト」のマーケティングに反するデータ外部送信行為

研究者は、開発者のマシンからデータが流出する2つの異なる経路を特定しました。

• モデルターンチャネル（POST /v1/responses）：エージェントが開いたファイルがモデルへのリクエストにシリアライズされます。これはクラウド型コーディングエージェントとして想定される範囲内の動作です。
• ストレージチャネル（POST /v1/storage）：問題はこちらです。リポジトリ全体が独立してgit bundleとしてパッケージ化され、grok-code-session-tracesという名前のGoogle Cloud Storage（GCS）バケットに、約75 MBのチャンクに分割されてアップロードされていました。

このアップロードが、エージェントが実際に読み取ったファイルに基づくものではないことは、データ量の桁違いの差が証明しています。12 GBのテストリポジトリを用いた実験では、ストレージチャネルが73個のチャンク（全てHTTP 200応答）で5.10 GiBものデータを転送したのに対し、モデルターンチャネルが転送したのはわずか192 KBでした。その比率は実に約27,800倍にも上ります。さらに深刻なのは、「OKとだけ返答し、いかなるファイルも読むな」とプロンプトで明示的に指示した場合でも、ツールはリポジトリ全体をgit bundleとしてアップロードしたことです。キャプチャしたbundleをクローンすると、エージェントに「開くな」と明示されたファイル（src/_probe/never_read_canary.txt）と、完全なGitコミット履歴が復元されました。

伏せ字処理されずに送信された機密情報とファイルの種類

• APIキー、データベースパスワード、その他の認証情報を含む**.envファイル**は、両方の通信チャネルを通じて、マスキングや伏せ字処理が一切施されることなく、そのままの内容（平文）で送信されていました。管理されたテストでは、データベース認証情報とAPIキーを含む48 KBのファイルが、リクエストボディに平文のまま含まれていることが確認されています。
• リポジトリ内の追跡対象ファイルすべてに加え、完全なGit履歴（全コミット、ブランチ、タグ）がbundleにまとめられてアップロードされました。これは、数ヶ月前にコミットされ、その後ローテートされた古い秘密情報であっても、アップロードされたデータの中に残存している可能性があることを意味します。
• このアップロード機構は、バイナリ内に存在するファーストパーティのRustクレート（xai-data-collector）であることが特定されました。ソースコードのパスとして、crates/codegen/xai-data-collector/src/gcs.rsやcrates/codegen/xai-grok-shell/src/upload/といったパスが確認されています。
• 実際の12 GBのコードベース（エージェントが一度も読んでいないランダムなファイルで構成）を用いたテストでも、ストレージエンドポイントはサイズに基づく拒否を一切行わずにアップロードを受け入れました。唯一の200番台以外の応答は、モデル使用量のクォータエラー（402/429）であり、ストレージに関する障害ではありませんでした。

機能しないオプトアウト設定

研究者は、ウェブ設定上の「Improve the model（モデル改善）」というプライバシートグルをテストしましたが、アップロードを止めることはできませんでした。

• トグルを無効にしてツールを再起動した後も、サーバー設定エンドポイントはtrace_upload_enabled: trueを返し続けました。
• ストレージチャネルは、チャンク化されたgit bundleのアップロードをHTTP 200応答で受け入れ続けました。
• ハーネス設定にはdisable_codebase_upload=trueという設定オプションが存在しますが、サーバーサイドの挙動との関係は文書化されておらず、研究者のテストではサーバーがクライアント側の設定を尊重しないことが示されました。

影響を受ける開発者への推奨される対策

元の研究者および後の分析記事では、以下の対策が推奨されています。

プライベートリポジトリでGrok Build CLIを使用したチームが直ちに取るべき行動：

• 全ての認証情報をローテーションする：Grok Buildで使用したリポジトリ内の.envファイル、設定ファイル、またはGit履歴に存在したあらゆる認証情報は、grok-code-session-traces GCSバケットに送信・保存された可能性があるため、速やかに変更してください。
• Git履歴を監査する：CLIが完全なコミット履歴を送信したため、過去のコミットに存在した秘密情報がないか確認してください。
• データは単に送信されただけでなく、保存されたと想定する：サーバーが全てのストレージリクエストに対してHTTP 200を返していることは、データが確実に受信・保存されたことを示しています。
• xAIへの問い合わせを検討する：当該バケットが削除されたかどうか、どのようなアクセス制御が適用されていたか、またデータ処理に関する契約（DPA）が結ばれていたかどうかを確認しましょう（開示時点では公開されていませんでした）。

あらゆるコードエージェントに対するアーキテクチャ上の対策：

• エージェントはコンテナまたは仮想マシン内で実行する：タスクに必要なディレクトリのみをマウントし、ホームディレクトリ、SSHエージェント、Dockerソケット、クラウド認証情報ディレクトリは一切公開しないでください。
• 出力（Egress）制御を実装する：モデル推論エンドポイントや認証ホストへの通信は許可しつつ、直接的な汎用オブジェクトストレージへのアップロードは拒否するルールを設定します。100 MBを超える転送が発生した場合にはアラートを発報するようにしてください。
• ホスト全体のパケットキャプチャ、DNSログ、エンドポイントネットワークテレメトリを活用する：フォアグラウンドのバイトカウンターでは気づけない、バックグラウンドのコーディネータープロセスによるアップロードを検出するために重要です。
• ワイヤーキャプチャ下で、最小限のプロンプトと最大限のプロンプトの両方をテストする：エージェントにファイルを読まないよう指示したケースは、コンテキストウィンドウを超えたデータ流出を検出するために極めて重要です。
• 最低でも以下の3つのプロンプトケースを実行し、エンドポイントごとのバイト数を比較することを推奨します：(1) 「OKと返答し、いかなるファイルも読むな」、(2) 特定のファイル1つを読む、(3) プロジェクトの言語を調査する。

「ローカルファースト」のマーケティングに反するデータ外部送信行為

研究者は、開発者のマシンからデータが流出する2つの異なる経路を特定しました。

• モデルターンチャネル（POST /v1/responses）：エージェントが開いたファイルがモデルへのリクエストにシリアライズされます。これはクラウド型コーディングエージェントとして想定される範囲内の動作です。
• ストレージチャネル（POST /v1/storage）：問題はこちらです。リポジトリ全体が独立してgit bundleとしてパッケージ化され、grok-code-session-tracesという名前のGoogle Cloud Storage（GCS）バケットに、約75 MBのチャンクに分割されてアップロードされていました。

このアップロードが、エージェントが実際に読み取ったファイルに基づくものではないことは、データ量の桁違いの差が証明しています。12 GBのテストリポジトリを用いた実験では、ストレージチャネルが73個のチャンク（全てHTTP 200応答）で5.10 GiBものデータを転送したのに対し、モデルターンチャネルが転送したのはわずか192 KBでした。その比率は実に約27,800倍にも上ります。さらに深刻なのは、「OKとだけ返答し、いかなるファイルも読むな」とプロンプトで明示的に指示した場合でも、ツールはリポジトリ全体をgit bundleとしてアップロードしたことです。キャプチャしたbundleをクローンすると、エージェントに「開くな」と明示されたファイル（src/_probe/never_read_canary.txt）と、完全なGitコミット履歴が復元されました。

伏せ字処理されずに送信された機密情報とファイルの種類

• APIキー、データベースパスワード、その他の認証情報を含む**.envファイル**は、両方の通信チャネルを通じて、マスキングや伏せ字処理が一切施されることなく、そのままの内容（平文）で送信されていました。管理されたテストでは、データベース認証情報とAPIキーを含む48 KBのファイルが、リクエストボディに平文のまま含まれていることが確認されています。
• リポジトリ内の追跡対象ファイルすべてに加え、完全なGit履歴（全コミット、ブランチ、タグ）がbundleにまとめられてアップロードされました。これは、数ヶ月前にコミットされ、その後ローテートされた古い秘密情報であっても、アップロードされたデータの中に残存している可能性があることを意味します。
• このアップロード機構は、バイナリ内に存在するファーストパーティのRustクレート（xai-data-collector）であることが特定されました。ソースコードのパスとして、crates/codegen/xai-data-collector/src/gcs.rsやcrates/codegen/xai-grok-shell/src/upload/といったパスが確認されています。
• 実際の12 GBのコードベース（エージェントが一度も読んでいないランダムなファイルで構成）を用いたテストでも、ストレージエンドポイントはサイズに基づく拒否を一切行わずにアップロードを受け入れました。唯一の200番台以外の応答は、モデル使用量のクォータエラー（402/429）であり、ストレージに関する障害ではありませんでした。

機能しないオプトアウト設定

研究者は、ウェブ設定上の「Improve the model（モデル改善）」というプライバシートグルをテストしましたが、アップロードを止めることはできませんでした。

• トグルを無効にしてツールを再起動した後も、サーバー設定エンドポイントはtrace_upload_enabled: trueを返し続けました。
• ストレージチャネルは、チャンク化されたgit bundleのアップロードをHTTP 200応答で受け入れ続けました。
• ハーネス設定にはdisable_codebase_upload=trueという設定オプションが存在しますが、サーバーサイドの挙動との関係は文書化されておらず、研究者のテストではサーバーがクライアント側の設定を尊重しないことが示されました。

影響を受ける開発者への推奨される対策

元の研究者および後の分析記事では、以下の対策が推奨されています。

プライベートリポジトリでGrok Build CLIを使用したチームが直ちに取るべき行動：

• 全ての認証情報をローテーションする：Grok Buildで使用したリポジトリ内の.envファイル、設定ファイル、またはGit履歴に存在したあらゆる認証情報は、grok-code-session-traces GCSバケットに送信・保存された可能性があるため、速やかに変更してください。
• Git履歴を監査する：CLIが完全なコミット履歴を送信したため、過去のコミットに存在した秘密情報がないか確認してください。
• データは単に送信されただけでなく、保存されたと想定する：サーバーが全てのストレージリクエストに対してHTTP 200を返していることは、データが確実に受信・保存されたことを示しています。
• xAIへの問い合わせを検討する：当該バケットが削除されたかどうか、どのようなアクセス制御が適用されていたか、またデータ処理に関する契約（DPA）が結ばれていたかどうかを確認しましょう（開示時点では公開されていませんでした）。

あらゆるコードエージェントに対するアーキテクチャ上の対策：

• エージェントはコンテナまたは仮想マシン内で実行する：タスクに必要なディレクトリのみをマウントし、ホームディレクトリ、SSHエージェント、Dockerソケット、クラウド認証情報ディレクトリは一切公開しないでください。
• 出力（Egress）制御を実装する：モデル推論エンドポイントや認証ホストへの通信は許可しつつ、直接的な汎用オブジェクトストレージへのアップロードは拒否するルールを設定します。100 MBを超える転送が発生した場合にはアラートを発報するようにしてください。
• ホスト全体のパケットキャプチャ、DNSログ、エンドポイントネットワークテレメトリを活用する：フォアグラウンドのバイトカウンターでは気づけない、バックグラウンドのコーディネータープロセスによるアップロードを検出するために重要です。
• ワイヤーキャプチャ下で、最小限のプロンプトと最大限のプロンプトの両方をテストする：エージェントにファイルを読まないよう指示したケースは、コンテキストウィンドウを超えたデータ流出を検出するために極めて重要です。
• 最低でも以下の3つのプロンプトケースを実行し、エンドポイントごとのバイト数を比較することを推奨します：(1) 「OKと返答し、いかなるファイルも読むな」、(2) 特定のファイル1つを読む、(3) プロジェクトの言語を調査する。