Data-exfiltratiegedrag dat in tegenspraak is met 'local-first'-marketing

De onderzoeker identificeerde twee wezenlijk verschillende datapaden die de computer van de ontwikkelaar verlieten :

• Het model-turn-kanaal (POST /v1/responses): bestanden die de agent opende, werden geserialiseerd in modelverzoeken. Dit is het verwachte gedrag van een cloud-gebaseerde codeeragent.
• Het opslagkanaal (POST /v1/storage): de volledige repository werd onafhankelijk verpakt als een git bundle en geüpload in chunks van ~75 MB naar een Google Cloud Storage-bucket met de naam grok-code-session-traces .

De schaalverschillen bewezen dat de upload niet werd aangestuurd door wat de agent las. Op een testrepository van 12 GB verplaatste het opslagkanaal 5,10 GiB over 73 chunks (allemaal HTTP 200), terwijl het model-turn-kanaal slechts 192 KB verplaatste — een verhouding van ~27.800× . Zelfs met de prompt 'reply OK, do not read any files' uploadde de tool de volledige repo als een git bundle; het klonen van de onderschepte bundle leverde een bestand op (src/_probe/never_read_canary.txt) dat de agent expliciet was verteld niet te openen, samen met de volledige git-commitgeschiedenis .

Soorten geheimen en bestanden die zonder redactie werden verzonden

• .env-bestanden met API-sleutels, databasewachtwoorden en andere credentials werden woordelijk, zonder masking of redactie via beide kanalen verzonden . In gecontroleerde tests verscheen een 48 KB-bestand met databasecredentials en API-sleutels in de clear in de request body .
• Elk getrackt bestand in de repository, plus de volledige git-historie (alle commits, branches, tags) werd gebundeld en geüpload . Dit betekent dat verwijderde geheimen die maanden geleden zijn gecommit maar later zijn geroteerd, nog steeds in de geüploade data kunnen bestaan.
• De uploadmechanismen werden geïdentificeerd als een first-party Rust crate (xai-data-collector) in de binary, met bronpaden zoals crates/codegen/xai-data-collector/src/gcs.rs en crates/codegen/xai-grok-shell/src/upload/ .
• Op een echte codebase van 12 GB met nooit gelezen willekeurige bestanden accepteerde het opslag endpoint uploads zonder enige op grootte gebaseerde afwijzing; de enige niet-200-responses waren modelgebruik-quotafouten (402/429), geen opslagfouten .

Opt-out-knop werkt niet

De onderzoeker testte de 'Verbeter het model'-privacyknop en ontdekte dat deze de uploads niet stopte .

• Nadat de knop was uitgeschakeld en de tool opnieuw was gestart, gaf het serverinstellingen-endpoint nog steeds trace_upload_enabled: true terug .
• Het opslagkanaal bleef chunked git-bundle-uploads accepteren met HTTP 200-responses .
• Er bestaat een configuratieoptie disable_codebase_upload=true in de harness-instellingen, maar de relatie tot het server-side gedrag is ongedocumenteerd en de tests van de onderzoeker toonden aan dat de server geen rekening hield met client-side voorkeuren .

Aanbevolen maatregelen voor getroffen ontwikkelaars

De oorspronkelijke onderzoeker en vervolganalyses raden het volgende aan :

Directe acties voor teams die Grok Build CLI op privé-repo's hebben gebruikt:

• Roteer alle credentials die in een .env-bestand, configuratiebestand of git-historie binnen repositories die met Grok Build zijn gebruikt, hebben gestaan, aangezien ze mogelijk zijn verzonden en opgeslagen in de grok-code-session-traces GCS-bucket .
• Audit de git-historie op geheimen die in een eerdere commit kunnen hebben gestaan, aangezien de CLI de volledige commitgeschiedenis heeft verzonden .
• Ga ervan uit dat data is opgeslagen, niet alleen verzonden — de server retourneerde HTTP 200 op alle opslagverzoeken, wat bevestigt dat deze zijn geaccepteerd .
• Vraag xAI of de bucket is verwijderd, welke toegangscontroles er waren en of er een Data Processing Agreement voor gold (er was geen gepubliceerd op het moment van openbaarmaking) .

Architecturale maatregelen voor elke codeeragent:

• Draai agenten in containers/VMs met alleen de taakdirectory gemount, geen homedirectory, geen SSH-agent, geen Docker-socket en geen cloud-credential-directories blootgesteld .
• Implementeer egress-controles: sta modelinferentie-endpoints en authenticatie-hosts toe, maar weiger directe generieke objectopslag-uploads. Waarschuw bij transfers van meer dan 100 MB .
• Gebruik full-host packet capture, DNS-logging en endpoint-netwerktelemetrie om uploads door achtergrondcoördinatorprocessen te detecteren die voorgrond-byte-tellers zouden missen .
• Test met minimale en maximale prompts onder wire capture — gevallen waarin de agent wordt verteld geen bestanden te lezen, zijn cruciaal voor het detecteren van exfiltratie buiten het contextvenster .
• Voer ten minste drie promptgevallen uit: (1) 'reply OK, do not read any files', (2) lees één specifiek bestand, (3) inspecteer de projecttaal — en vergelijk vervolgens bytes per endpoint .

Data-exfiltratiegedrag dat in tegenspraak is met 'local-first'-marketing

De onderzoeker identificeerde twee wezenlijk verschillende datapaden die de computer van de ontwikkelaar verlieten :

• Het model-turn-kanaal (POST /v1/responses): bestanden die de agent opende, werden geserialiseerd in modelverzoeken. Dit is het verwachte gedrag van een cloud-gebaseerde codeeragent.
• Het opslagkanaal (POST /v1/storage): de volledige repository werd onafhankelijk verpakt als een git bundle en geüpload in chunks van ~75 MB naar een Google Cloud Storage-bucket met de naam grok-code-session-traces .

De schaalverschillen bewezen dat de upload niet werd aangestuurd door wat de agent las. Op een testrepository van 12 GB verplaatste het opslagkanaal 5,10 GiB over 73 chunks (allemaal HTTP 200), terwijl het model-turn-kanaal slechts 192 KB verplaatste — een verhouding van ~27.800× . Zelfs met de prompt 'reply OK, do not read any files' uploadde de tool de volledige repo als een git bundle; het klonen van de onderschepte bundle leverde een bestand op (src/_probe/never_read_canary.txt) dat de agent expliciet was verteld niet te openen, samen met de volledige git-commitgeschiedenis .

Soorten geheimen en bestanden die zonder redactie werden verzonden

• .env-bestanden met API-sleutels, databasewachtwoorden en andere credentials werden woordelijk, zonder masking of redactie via beide kanalen verzonden . In gecontroleerde tests verscheen een 48 KB-bestand met databasecredentials en API-sleutels in de clear in de request body .
• Elk getrackt bestand in de repository, plus de volledige git-historie (alle commits, branches, tags) werd gebundeld en geüpload . Dit betekent dat verwijderde geheimen die maanden geleden zijn gecommit maar later zijn geroteerd, nog steeds in de geüploade data kunnen bestaan.
• De uploadmechanismen werden geïdentificeerd als een first-party Rust crate (xai-data-collector) in de binary, met bronpaden zoals crates/codegen/xai-data-collector/src/gcs.rs en crates/codegen/xai-grok-shell/src/upload/ .
• Op een echte codebase van 12 GB met nooit gelezen willekeurige bestanden accepteerde het opslag endpoint uploads zonder enige op grootte gebaseerde afwijzing; de enige niet-200-responses waren modelgebruik-quotafouten (402/429), geen opslagfouten .

Opt-out-knop werkt niet

De onderzoeker testte de 'Verbeter het model'-privacyknop en ontdekte dat deze de uploads niet stopte .

• Nadat de knop was uitgeschakeld en de tool opnieuw was gestart, gaf het serverinstellingen-endpoint nog steeds trace_upload_enabled: true terug .
• Het opslagkanaal bleef chunked git-bundle-uploads accepteren met HTTP 200-responses .
• Er bestaat een configuratieoptie disable_codebase_upload=true in de harness-instellingen, maar de relatie tot het server-side gedrag is ongedocumenteerd en de tests van de onderzoeker toonden aan dat de server geen rekening hield met client-side voorkeuren .

Aanbevolen maatregelen voor getroffen ontwikkelaars

De oorspronkelijke onderzoeker en vervolganalyses raden het volgende aan :

Directe acties voor teams die Grok Build CLI op privé-repo's hebben gebruikt:

• Roteer alle credentials die in een .env-bestand, configuratiebestand of git-historie binnen repositories die met Grok Build zijn gebruikt, hebben gestaan, aangezien ze mogelijk zijn verzonden en opgeslagen in de grok-code-session-traces GCS-bucket .
• Audit de git-historie op geheimen die in een eerdere commit kunnen hebben gestaan, aangezien de CLI de volledige commitgeschiedenis heeft verzonden .
• Ga ervan uit dat data is opgeslagen, niet alleen verzonden — de server retourneerde HTTP 200 op alle opslagverzoeken, wat bevestigt dat deze zijn geaccepteerd .
• Vraag xAI of de bucket is verwijderd, welke toegangscontroles er waren en of er een Data Processing Agreement voor gold (er was geen gepubliceerd op het moment van openbaarmaking) .

Architecturale maatregelen voor elke codeeragent:

• Draai agenten in containers/VMs met alleen de taakdirectory gemount, geen homedirectory, geen SSH-agent, geen Docker-socket en geen cloud-credential-directories blootgesteld .
• Implementeer egress-controles: sta modelinferentie-endpoints en authenticatie-hosts toe, maar weiger directe generieke objectopslag-uploads. Waarschuw bij transfers van meer dan 100 MB .
• Gebruik full-host packet capture, DNS-logging en endpoint-netwerktelemetrie om uploads door achtergrondcoördinatorprocessen te detecteren die voorgrond-byte-tellers zouden missen .
• Test met minimale en maximale prompts onder wire capture — gevallen waarin de agent wordt verteld geen bestanden te lezen, zijn cruciaal voor het detecteren van exfiltratie buiten het contextvenster .
• Voer ten minste drie promptgevallen uit: (1) 'reply OK, do not read any files', (2) lees één specifiek bestand, (3) inspecteer de projecttaal — en vergelijk vervolgens bytes per endpoint .