Что обнаружили исследователи

У Grok Build было два отдельных канала передачи данных, и ни один из них не ограничивался передачей только той информации, которая была необходима для выполнения задачи.

Канал запросов к модели работал так, как и ожидалось: когда Grok Build читал файл для выполнения кода, его содержимое отправлялось на серверы xAI в составе запроса к ИИ-модели. Однако конфиденциальные данные — такие как API-ключи и пароли баз данных из файлов .env — передавались в открытом виде, без какой-либо маскировки .

Фоновый канал хранения оказался гораздо более тревожным. Независимо от того, какие файлы агент открывал в ходе работы, клиент упаковывал весь Git-репозиторий — включая полную историю коммитов — и отправлял его в бакет Google Cloud Storage с именем grok-code-session-trace через endpoint POST /v1/save-session . Даже когда исследователь дал команду инструменту «просто ответить «ОК», не читая никаких файлов», тот всё равно загрузил полный репозиторий .

Исследователь безопасности Hari независимо подтвердил этот факт, применив обратную разработку (reverse engineering). Он сообщил, что Grok Build загружал целые пользовательские директории без явного разрешения . В одном тесте с репозиторием объёмом 11,2 ГиБ как минимум 5,1 ГиБ данных было передано по каналу хранения, в то время как для самой задачи требовалось всего около 192 КБ . Загруженные данные содержали полную историю Git, секреты из .env и все файлы репозитория — а не только те, что были нужны для выполнения задачи .

Как отреагировали Илон Маск и xAI

Илон Маск публично подтвердил проблему в X, начав ответ со слова «True» . Затем он пообещал: «В качестве меры предосторожности все пользовательские данные, ранее загруженные в SpaceXAI, будут полностью и тщательно удалены. Ноль. Абсолютно ничего не останется» .

Компания xAI выпустила официальное заявление, в котором подчеркнула, что серьёзно относится к конфиденциальности пользователей, и отметила, что код и данные для обучения корпоративных клиентов, использующих опцию Zero Data Retention (ZDR), никогда не использовались . Кроме того, xAI внедрила серверное изменение, отключив endpoint /v1/save-session, что остановило фоновую загрузку репозиториев . Загрузки прекратились 13 июля 2026 года .

Остающиеся вопросы, несмотря на исправление

Хотя реакция xAI остановила активную утечку данных, несколько проблем остаются нерешёнными.

1. Исправление было на стороне сервера, а не клиента. Исследователь отметил, что клиент Grok Build CLI (версия 0.2.93) так и не был обновлён — xAI просто отключил принимающий endpoint на своих серверах . Это означает, что в коде клиента всё ещё есть возможность загружать целые репозитории; поведение может возобновиться, если endpoint снова включат.

2. Настройка приватности xAI не остановила загрузку. Исследователь проверил «режим приватности» или команду отказа от хранения данных и обнаружил, что она не предотвращала фоновую загрузку полного репозитория . Исследователь прямо заявил: «Не команда приватности xAI всё исправила» . Вместо этого был активирован скрытый серверный флаг disable_codebase_upload .

3. Отсутствие публичных уведомлений об изменениях. xAI отключила функцию загрузки без уведомления пользователей или публикации записи в журнале изменений .

4. Нет подтверждения, что данные действительно были удалены. Хотя Маск пообещал удаление, на момент публикации отчётов не было независимой проверки того, что ранее загруженные пользовательские данные в бакете grok-code-session-trace были очищены .

5. Уже утекшие данные невозможно отозвать. Любые конфиденциальные учётные данные, проприетарный код или секреты, переданные до исправления, уже хранятся в облачной инфраструктуре xAI . Исследователь зафиксировал выгрузки, смог клонировать Git-бандл и восстановить файлы, которые агенту было прямо запрещено читать .

Резюме ключевых фактов

Что это значит для разработчиков

Инцидент с Grok Build подчёркивает растущий риск для разработчиков, использующих ИИ-помощников для написания кода. Многие такие инструменты отправляют код на облачные серверы для обработки, но объём передаваемых и сохраняемых данных часто остаётся непрозрачным. В данном случае инструмент отправлял гораздо больше данных, чем было нужно, — и делал это даже тогда, когда пользователи явно пытались этому воспрепятствовать.

Пока xAI не выпустит обновление клиента и не предоставит независимого подтверждения удаления данных, разработчикам, использовавшим Grok Build, следует исходить из того, что любые учётные данные, проприетарный код или конфиденциальная информация, находившиеся в их репозиториях, могли быть переданы в облачную инфраструктуру xAI.

Что обнаружили исследователи

У Grok Build было два отдельных канала передачи данных, и ни один из них не ограничивался передачей только той информации, которая была необходима для выполнения задачи.

Канал запросов к модели работал так, как и ожидалось: когда Grok Build читал файл для выполнения кода, его содержимое отправлялось на серверы xAI в составе запроса к ИИ-модели. Однако конфиденциальные данные — такие как API-ключи и пароли баз данных из файлов .env — передавались в открытом виде, без какой-либо маскировки .

Фоновый канал хранения оказался гораздо более тревожным. Независимо от того, какие файлы агент открывал в ходе работы, клиент упаковывал весь Git-репозиторий — включая полную историю коммитов — и отправлял его в бакет Google Cloud Storage с именем grok-code-session-trace через endpoint POST /v1/save-session . Даже когда исследователь дал команду инструменту «просто ответить «ОК», не читая никаких файлов», тот всё равно загрузил полный репозиторий .

Исследователь безопасности Hari независимо подтвердил этот факт, применив обратную разработку (reverse engineering). Он сообщил, что Grok Build загружал целые пользовательские директории без явного разрешения . В одном тесте с репозиторием объёмом 11,2 ГиБ как минимум 5,1 ГиБ данных было передано по каналу хранения, в то время как для самой задачи требовалось всего около 192 КБ . Загруженные данные содержали полную историю Git, секреты из .env и все файлы репозитория — а не только те, что были нужны для выполнения задачи .

Как отреагировали Илон Маск и xAI

Илон Маск публично подтвердил проблему в X, начав ответ со слова «True» . Затем он пообещал: «В качестве меры предосторожности все пользовательские данные, ранее загруженные в SpaceXAI, будут полностью и тщательно удалены. Ноль. Абсолютно ничего не останется» .

Компания xAI выпустила официальное заявление, в котором подчеркнула, что серьёзно относится к конфиденциальности пользователей, и отметила, что код и данные для обучения корпоративных клиентов, использующих опцию Zero Data Retention (ZDR), никогда не использовались . Кроме того, xAI внедрила серверное изменение, отключив endpoint /v1/save-session, что остановило фоновую загрузку репозиториев . Загрузки прекратились 13 июля 2026 года .

Остающиеся вопросы, несмотря на исправление

Хотя реакция xAI остановила активную утечку данных, несколько проблем остаются нерешёнными.

1. Исправление было на стороне сервера, а не клиента. Исследователь отметил, что клиент Grok Build CLI (версия 0.2.93) так и не был обновлён — xAI просто отключил принимающий endpoint на своих серверах . Это означает, что в коде клиента всё ещё есть возможность загружать целые репозитории; поведение может возобновиться, если endpoint снова включат.

2. Настройка приватности xAI не остановила загрузку. Исследователь проверил «режим приватности» или команду отказа от хранения данных и обнаружил, что она не предотвращала фоновую загрузку полного репозитория . Исследователь прямо заявил: «Не команда приватности xAI всё исправила» . Вместо этого был активирован скрытый серверный флаг disable_codebase_upload .

3. Отсутствие публичных уведомлений об изменениях. xAI отключила функцию загрузки без уведомления пользователей или публикации записи в журнале изменений .

4. Нет подтверждения, что данные действительно были удалены. Хотя Маск пообещал удаление, на момент публикации отчётов не было независимой проверки того, что ранее загруженные пользовательские данные в бакете grok-code-session-trace были очищены .

5. Уже утекшие данные невозможно отозвать. Любые конфиденциальные учётные данные, проприетарный код или секреты, переданные до исправления, уже хранятся в облачной инфраструктуре xAI . Исследователь зафиксировал выгрузки, смог клонировать Git-бандл и восстановить файлы, которые агенту было прямо запрещено читать .

Резюме ключевых фактов

Что это значит для разработчиков

Инцидент с Grok Build подчёркивает растущий риск для разработчиков, использующих ИИ-помощников для написания кода. Многие такие инструменты отправляют код на облачные серверы для обработки, но объём передаваемых и сохраняемых данных часто остаётся непрозрачным. В данном случае инструмент отправлял гораздо больше данных, чем было нужно, — и делал это даже тогда, когда пользователи явно пытались этому воспрепятствовать.

Пока xAI не выпустит обновление клиента и не предоставит независимого подтверждения удаления данных, разработчикам, использовавшим Grok Build, следует исходить из того, что любые учётные данные, проприетарный код или конфиденциальная информация, находившиеся в их репозиториях, могли быть переданы в облачную инфраструктуру xAI.