AI-codeassistent Grok Build verstuurde stilletjes hele repositories, inclusief .env-geheimen, naar xAI-cloud

Op 12 juli 2026 publiceerde de onafhankelijke beveiligingsonderzoeker cereblab een analyse op pakketniveau van xAI's Grok Build CLI versie 0.2.93. Daaruit bleek dat de tool veel meer data verstuurde dan nodig was – inclusief complete Git-repositories, volledige commitgeschiedenis en onbewerkte geheimen uit .env-bestanden – naar een Google Cloud Storage-bucket . De uploads vonden plaats, zelfs wanneer gebruikers zich hadden afgemeld voor gegevensverzameling. xAI loste het probleem op met een server-side aanpassing, maar de client zelf bleef ongewijzigd, wat betekent dat gevoelige gegevens die al waren verzonden, niet kunnen worden teruggehaald .

Wat de onderzoekers ontdekten

Grok Build had twee aparte datatransmissiekanalen, en geen van beiden beperkte de data tot alleen wat de codeertaak nodig had.

Het modelverzoekpad werkte op het eerste gezicht zoals verwacht: wanneer Grok Build een bestand las voor een codeertaak, werden de bestandsinhoud naar de servers van xAI gestuurd als onderdeel van het modelverzoek. Gevoelige gegevens zoals API-sleutels en databasewachtwoorden uit .env-bestanden verschenen echter in onbewerkte tekst zonder redactie .

Het achtergrondopslagpad was de meer alarmerende ontdekking. Onafhankelijk van welke bestanden de agent daadwerkelijk opende, bundelde de CLI de volledige Git-repository – inclusief volledige commitgeschiedenis – en uploadde deze naar een Google Cloud Storage-bucket genaamd grok-code-session-trace via een

POST /v1/save-session

Beveiligingsonderzoeker Hari bevestigde dit onafhankelijk via reverse-engineering en plaatste dat Grok Build complete gebruikersmappen uploadde zonder expliciete toestemming . In een test met een repository van 11,2 GiB werd minstens 5,1 GiB aan data via het opslagpad vastgelegd, terwijl de daadwerkelijke codeertaak slechts ongeveer 192 KB nodig had . De uploads bevatten volledige Git-geschiedenis, .env-geheimen en alle repositorybestanden – niet alleen de subset die nodig was voor de codeertaak .

Hoe Elon Musk en xAI reageerden

Elon Musk bevestigde het probleem publiekelijk op X en begon zijn reactie met "True" . Vervolgens beloofde hij: "Als voorzorgsmaatregel zullen alle gebruikersgegevens die eerder naar SpaceXAI zijn geüpload, volledig en grondig worden verwijderd. Er zal absoluut niets achterblijven" .

xAI gaf een openbare verklaring uit waarin het stelde dat het de privacy van gebruikers serieus neemt, en merkte op dat zakelijke klanten die Zero Data Retention (ZDR) gebruiken, nooit hun code of trainingsgegevens zagen gebruiken . Het bedrijf implementeerde ook een server-side wijziging die het /v1/save-session-eindpunt uitschakelde, waardoor de achtergrondrepository-uploads stopten . De uploads zijn gestopt vanaf 13 juli 2026 .

Blijvende zorgen ondanks de fix

Hoewel de reactie van xAI de actieve data-exfiltratie stopte, blijven verschillende problemen onopgelost.

1. De fix was server-side, niet client-side. De onderzoeker merkte op dat de Grok Build CLI-client (versie 0.2.93) zelf nooit is bijgewerkt – xAI schakelde simpelweg het ontvangende eindpunt op zijn servers uit . Dit betekent dat de clientcode nog steeds de mogelijkheid heeft om complete repositories te uploaden; het gedrag kan worden hervat als het eindpunt opnieuw wordt ingeschakeld.

2. xAI's privacy-opt-out stopte de uploads niet. De onderzoeker testte de 'privacymodus' of de opdracht om gegevensretentie uit te schakelen en ontdekte dat deze niet voorkwam dat de volledige repository op de achtergrond werd geüpload . De onderzoeker stelde expliciet: "xAI's privacycommando was niet wat ze heeft opgelost" . In plaats daarvan werd een verborgen server-side vlag genaamd disable_codebase_upload op 'true' gezet .

3. Geen openbare communicatie over de wijziging. xAI schakelde de uploadfunctionaliteit uit zonder gebruikers op de hoogte te stellen of een changelog-entry uit te geven .

4. Geen bevestiging dat gegevens daadwerkelijk zijn verwijderd. Hoewel Musk verwijdering beloofde, was er op het moment van publicatie geen onafhankelijke verificatie dat eerder geüploade gebruikersgegevens in de grok-code-session-trace-bucket waren gewist .

5. De gegevens die al zijn gelekt, kunnen niet worden teruggehaald. Gevoelige inloggegevens, propriëtaire code of geheimen die vóór de fix zijn verzonden, waren al opgeslagen op de cloudinfrastructuur van xAI . De onderzoeker legde uploads vast en kon de Git-bundel klonen en bestanden herstellen die de agent expliciet was verteld niet te lezen .

Samenvatting van de belangrijkste feiten

Wat dit betekent voor ontwikkelaars

Het Grok Build-incident benadrukt een groeiend risico voor ontwikkelaars die AI-gestuurde codeerassistenten gebruiken. Veel van dergelijke tools sturen code naar cloudservers voor verwerking, maar de omvang van wat wordt verzonden en opgeslagen is vaak ondoorzichtig. In dit geval stuurde de tool veel meer dan nodig was – en deed dat zelfs wanneer gebruikers expliciet probeerden dit te voorkomen.

Totdat xAI een clientupdate uitbrengt en onafhankelijke verificatie van gegevensverwijdering levert, moeten ontwikkelaars die Grok Build hebben gebruikt ervan uitgaan dat alle inloggegevens, propriëtaire code of gevoelige informatie die in hun repositories aanwezig was, mogelijk naar de cloudinfrastructuur van xAI zijn verzonden.