Analisis Wire-Level Grok Build CLI 0.2.93: Muat Naik Repo Penuh secara Senyap, Rahsia Tidak Terlindung, dan Togol Opt-Out yang Rosak

Seorang penyelidik keselamatan bebas di Cereblab (@cereblab) telah melakukan analisis wire-level yang boleh diulang terhadap Grok Build CLI versi 0.2.93 milik xAI menggunakan mitmproxy, dan menerbitkan analisis penuh sebagai GitHub Gist . Analisis itu menemui tiga kelemahan keselamatan utama yang secara langsung bercanggah dengan kedudukan "local-first" syarikat dan melanggar jangkaan pemaju tentang privasi data.

Tingkah Laku Pengekstrakan Data Bercanggah dengan Pemasaran "Local-First"

Penyelidik mengenal pasti dua laluan data yang berbeza secara material meninggalkan mesin pemaju :

• Saluran giliran model (POST /v1/responses): fail yang dibuka oleh ejen diserialkan ke dalam permintaan model. Ini adalah tingkah laku yang dijangka bagi ejen pengekodan awan.
• Saluran storan (POST /v1/storage): keseluruhan repositori dibungkus secara bebas sebagai bundle git dan dimuat naik dalam cebisan ~75 MB ke baldi Google Cloud Storage bernama grok-code-session-traces .

Perbezaan skala membuktikan muat naik itu tidak didorong oleh apa yang dibaca oleh ejen. Pada repositori ujian 12 GB, saluran storan memindahkan 5.10 GiB merentasi 73 cebisan (semua HTTP 200), manakala saluran giliran model memindahkan hanya 192 KB — nisbah ~27,800× . Walaupun dengan arahan "balas OK, jangan baca sebarang fail," alat itu memuat naik keseluruhan repo sebagai bundle git; mengklon bundle yang ditangkap memulihkan fail (src/_probe/never_read_canary.txt) yang secara eksplisit diberitahu kepada ejen untuk tidak dibuka, bersama dengan sejarah komit git penuh .

Jenis Rahsia dan Fail Dihantar Tanpa Redaksi

• Fail .env yang mengandungi kunci API, kata laluan pangkalan data, dan kelayakan lain dihantar secara verbatim, tanpa topeng atau redaksi melalui kedua-dua saluran . Dalam ujian terkawal, fail 48 KB yang mengandungi kelayakan pangkalan data dan kunci API muncul dalam teks jelas dalam badan permintaan .
• Setiap fail yang dikesan dalam repositori, serta sejarah git penuh (semua komit, cawangan, tag) dibungkus dan dimuat naik . Ini bermakna rahsia yang dialih keluar berbulan-bulan lalu tetapi kemudiannya diputar mungkin masih wujud dalam data yang dimuat naik.
• Jentera muat naik dikenal pasti sebagai peti Rust pihak pertama (xai-data-collector) yang berada dalam binari, dengan laluan sumber seperti crates/codegen/xai-data-collector/src/gcs.rs dan crates/codegen/xai-grok-shell/src/upload/ .
• Pada pangkalan kod 12 GB sebenar bagi fail rawak yang tidak pernah dibaca, titik akhir storan menerima muat naik tanpa sebarang penolakan berdasarkan saiz; satu-satunya respons bukan 200 adalah ralat kuota penggunaan model (402/429), bukan kegagalan storan .

Kegagalan Togol Opt-Out

Penyelidik menguji togol privasi "Improve the model" dan mendapati ia tidak menghentikan muat naik .

• Selepas melumpuhkan togol dan memulakan semula, titik akhir tetapan pelayan masih mengembalikan trace_upload_enabled: true .
• Saluran storan terus menerima muat naik bundle git bercebis dengan respons HTTP 200 .
• Pilihan konfigurasi disable_codebase_upload=true wujud dalam tetapan abah, tetapi hubungannya dengan tingkah laku sebelah pelayan tidak didokumenkan, dan ujian penyelidik menunjukkan pelayan tidak menghormati keutamaan sebelah klien .

Mitigasi yang Disyorkan untuk Pemaju Terjejas

Penyelidik asal dan saluran analisis seterusnya mengesyorkan yang berikut :

Tindakan segera untuk pasukan yang menggunakan Grok Build CLI pada repo peribadi:

• Putar semua kelayakan yang wujud dalam mana-mana fail .env, fail konfigurasi, atau sejarah git dalam repositori yang digunakan dengan Grok Build, kerana ia mungkin telah dihantar dan disimpan dalam baldi GCS grok-code-session-traces .
• Audit sejarah git untuk rahsia yang mungkin wujud dalam mana-mana komit lalu, memandangkan CLI menghantar sejarah komit penuh .
• Anggap data telah disimpan, bukan hanya dihantar — pelayan mengembalikan HTTP 200 pada semua permintaan storan, mengesahkan penerimaan .
• Tanya xAI sama ada baldi telah dipadamkan, kawalan akses apa yang wujud, dan sama ada Perjanjian Pemprosesan Data melindunginya (tiada diterbitkan pada masa pendedahan) .

Mitigasi seni bina untuk mana-mana ejen pengekodan:

• Jalankan ejen dalam kontena/VM dengan hanya direktori tugas dipasang, tiada direktori rumah, tiada ejen SSH, tiada soket Docker, dan tiada direktori kelayakan awan terdedah .
• Laksanakan kawalan egress: benarkan titik akhir inferens model dan hos pengesahan, tetapi nafi muat naik storan objek generik langsung. Beri amaran pada pemindahan melebihi 100 MB .
• Gunakan tangkapan paket hos penuh, pengelogan DNS, dan telemetri rangkaian titik akhir untuk mengesan muat naik oleh proses penyelaras latar belakang yang kaunter bait latar depan akan terlepas .
• Uji gesaan minimum dan maksimum di bawah tangkapan wayar — kes di mana ejen diberitahu untuk tidak membaca fail adalah kritikal untuk mengesan pengekstrakan di luar tetingkap konteks .
• Jalankan sekurang-kurangnya tiga kes gesaan: (1) "balas OK, jangan baca sebarang fail," (2) baca satu fail tertentu, (3) periksa bahasa projek — kemudian bandingkan bait setiap titik akhir .