Grok Build CLI от xAI загружает весь репозиторий на сервер без спроса: что показал разбор трафика

Независимый исследователь безопасности Cereblab (@cereblab) провёл воспроизводимый перехват трафика Grok Build CLI версии 0.2.93 с помощью mitmproxy и опубликовал полный анализ в виде GitHub Gist . Разбор выявил три крупные уязвимости, которые прямо противоречат позиционированию инструмента как «локального» и нарушают ожидания разработчиков в отношении конфиденциальности данных.

Два пути утечки, опровергающие маркетинг «Local-First»

Исследователь обнаружил два принципиально разных канала, по которым данные покидают машину разработчика :

• Канал взаимодействия с моделью (POST /v1/responses): файлы, которые агент открывал, сериализовались в запросы к модели. Это ожидаемое поведение облачного AI-ассистента.
• Канал хранилища (POST /v1/storage): весь репозиторий независимо упаковывался в git-бандл и отправлялся частями (~75 МБ) в корзину Google Cloud Storage с именем grok-code-session-traces .

Масштаб расхождения доказывает, что загрузка не была вызвана тем, что прочитал агент. В тесте с репозиторием объёмом 12 ГБ канал хранилища передал 5,10 GiB в 73 частях (все с HTTP 200), тогда как канал модели передал всего 192 КБ — соотношение ~27 800× . Даже после команды «просто ответь ОК, не читай никакие файлы» утилита загрузила весь репозиторий как git-бандл; клонирование перехваченного бандла позволило восстановить файл (src/_probe/never_read_canary.txt), который агенту было явно запрещено открывать, вместе с полной историей git .

Какие секреты и файлы передавались без редактирования

• Файлы .env, содержащие API-ключи, пароли к базам данных и другие учётные данные, передавались дословно, без маскировки по обоим каналам . В контрольных тестах файл размером 48 КБ с учётными данными БД и API-ключами появлялся в теле запроса в открытом виде .
• Каждый отслеживаемый файл в репозитории, а также полная история git (все коммиты, ветки, теги) упаковывались и загружались . Это означает, что удалённые секреты, которые были закоммичены месяцы назад, но затем отозваны, всё ещё могут существовать в загруженных данных.
• Механизм загрузки был идентифицирован как собственный Rust-крейт (xai-data-collector), встроенный в бинарный файл, с исходными путями, такими как crates/codegen/xai-data-collector/src/gcs.rs и crates/codegen/xai-grok-shell/src/upload/ .
• В реальной кодовой базе на 12 ГБ со случайными файлами, которые агент никогда не читал, серверная точка приёма данных принимала загрузки без какого-либо отклонения по размеру; единственными не-200 ответами были ошибки квоты использования модели (402/429), а не ошибки хранилища .

Отказ от сбора не работает

Исследователь протестировал переключатель конфиденциальности «Improve the model» (Улучшить модель) и обнаружил, что он не останавливает загрузку .

• После отключения переключателя и перезапуска серверная конечная точка настроек всё ещё возвращала trace_upload_enabled: true .
• Канал хранилища продолжал принимать части git-бандла с ответами HTTP 200 .
• В настройках harness существует опция disable_codebase_upload=true, но её связь с серверным поведением не документирована, и тесты исследователя показали, что сервер не соблюдает настройки клиента .

Рекомендации для пострадавших разработчиков

Оригинальный исследователь и последующие аналитики рекомендуют следующее :

Немедленные действия для команд, использовавших Grok Build CLI в частных репозиториях:

• Смените все учётные данные, которые когда-либо существовали в файлах .env, конфигурационных файлах или истории git репозиториев, использовавшихся с Grok Build, так как они могли быть переданы и сохранены в корзине GCS grok-code-session-traces .
• Проверьте историю git на наличие секретов, которые могли существовать в прошлых коммитах, поскольку CLI отправлял полную историю коммитов .
• Исходите из того, что данные были сохранены, а не только переданы — сервер возвращал HTTP 200 на все запросы хранилища, подтверждая их приём .
• Спросите xAI, была ли корзина удалена, какие средства контроля доступа существовали и было ли заключено соглашение об обработке данных (на момент публикации такое соглашение не было опубликовано) .

Архитектурные меры для любых AI-агентов:

• Запускайте агентов в контейнерах/виртуальных машинах с монтированием только рабочей директории, без домашней директории, SSH-агента, Docker-сокета и облачных каталогов с учётными данными .
• Внедрите контроль исходящего трафика: разрешите конечные точки для инференса модели и аутентификации, но запретите прямые загрузки на универсальные объектные хранилища. Установите предупреждения при передаче более 100 МБ .
• Используйте захват пакетов на уровне хоста, логирование DNS и сетевую телеметрию конечных точек для обнаружения загрузок фоновыми процессами-координаторами, которые могли бы пропустить счётчики байт на переднем плане .
• Тестируйте минимальные и максимальные промпты с захватом трафика — случаи, когда агенту говорят не читать файлы, являются критическими для обнаружения утечки за пределами контекстного окна .
• Запустите как минимум три сценария: (1) «просто ответь ОК, не читай никакие файлы», (2) прочитай один конкретный файл, (3) проанализируй язык проекта — затем сравните байты на конечную точку .