xAI’nin Grok Build CLI’ı Sessizce Tüm Kod Deponuzu Buluta Yüklüyor: Wire-Level Analiz Ortaya Çıkardı

Bağımsız bir güvenlik araştırmacısı olan Cereblab (@cereblab), xAI'nin Grok Build CLI sürüm 0.2.93'ü üzerinde mitmproxy kullanarak tekrarlanabilir bir wire-level analizi gerçekleştirdi ve tüm analizini bir GitHub Gist'inde yayınladı . Analiz, şirketin 'yerel-ilk' konumlandırmasıyla doğrudan çelişen ve geliştiricilerin veri gizliliği beklentilerini ihlal eden üç büyük güvenlik açığını ortaya çıkardı.

'Yerel-İlk' Pazarlamasıyla Çelişen Veri Sızdırma Davranışları

Araştırmacı, geliştiricinin makinesinden ayrılan maddi olarak farklı iki veri yolu tespit etti :

• Model dönüş kanalı (

  POST /v1/responses

  ): aracının açtığı dosyalar, model isteklerine serileştirildi. Bu, bir bulut kodlama aracısının beklenen davranışıdır.
• Depolama kanalı (

  POST /v1/storage

  ): tüm depo bağımsız olarak bir git bundle olarak paketlendi ve grok-code-session-traces adlı bir Google Cloud Storage bucket'ına ~75 MB'lık parçalar halinde yüklendi .

Ölçek farkı, yüklemenin aracının okuduğu şey tarafından yönlendirilmediğini kanıtladı. 12 GB'lık bir test deposunda, depolama kanalı 73 parça boyunca (tümü HTTP 200) 5,10 GiB taşırken, model dönüş kanalı yalnızca 192 KB taşıdı — bu ~27.800 katlık bir orandır . 'Tamam, hiçbir dosyayı okuma' istemiyle bile, araç tüm depoyu bir git bundle olarak yükledi; ele geçirilen bundle klonlandığında, aracının açmaması söylenen bir dosya (src/_probe/never_read_canary.txt) ve tam Git commit geçmişi kurtarıldı .

Maskeleme Olmadan İletilen Sır ve Dosya Türleri

• API anahtarları, veritabanı şifreleri ve diğer kimlik bilgilerini içeren .env dosyaları, her iki kanaldan olduğu gibi, maskeleme veya sansürleme olmadan iletildi . Kontrollü testlerde, veritabanı kimlik bilgileri ve API anahtarları içeren 48 KB'lık bir dosya, istek gövdesinde açık metin olarak göründü .
• Depodaki her izlenen dosya ve tam Git geçmişi (tüm commit'ler, dallar, etiketler) paketlenip yüklendi . Bu, aylar önce commitlenmiş ancak daha sonra döndürülmüş sırların yüklenen verilerde hala var olabileceği anlamına gelir.
• Yükleme mekanizması, ikili dosyada bulunan ve kaynak yolları crates/codegen/xai-data-collector/src/gcs.rs ve crates/codegen/xai-grok-shell/src/upload/ gibi olan bir birinci taraf Rust sandığı (xai-data-collector) olarak tanımlandı .
• Asla okunmayan rastgele dosyalardan oluşan gerçek 12 GB'lık bir kod tabanında, depolama uç noktası herhangi bir boyut tabanlı reddetme olmaksızın yüklemeleri kabul etti; 200 dışındaki tek yanıtlar model kullanım kotası hatalarıydı (402/429), depolama hataları değil .

Vazgeçme Geçişinin Başarısızlığı

Araştırmacı, 'Modeli İyileştir' gizlilik geçişini test etti ve yüklemeleri durdurmadığını buldu .

• Geçiş devre dışı bırakılıp yeniden başlatıldıktan sonra, sunucu ayarları uç noktası hâlâ

  trace_upload_enabled: true

  döndürdü .
• Depolama kanalı, parçalı git-bundle yüklemelerini HTTP 200 yanıtlarıyla kabul etmeye devam etti .
• Koşum ayarlarında bir disable_codebase_upload=true yapılandırma seçeneği mevcuttur, ancak sunucu tarafı davranışıyla ilişkisi belgelenmemiştir ve araştırmacının testleri, sunucunun istemci tarafı tercihlerine saygı göstermediğini gösterdi .

Etkilenen Geliştiriciler İçin Önerilen Önlemler

Orijinal araştırmacı ve sonraki analiz kaynakları aşağıdakileri önermektedir :

Özel depolarda Grok Build CLI kullanan ekipler için acil eylemler:

• Grok Build ile kullanılan depolardaki herhangi bir .env dosyası, yapılandırma dosyası veya Git geçmişinde bulunan tüm kimlik bilgilerini döndürün, çünkü bunlar grok-code-session-traces GCS bucket'ına iletilmiş ve depolanmış olabilir .
• CLI tam commit geçmişini gönderdiğinden, herhangi bir eski commit'te bulunmuş olabilecek sırlar için Git geçmişini denetleyin .
• Verilerin depolandığını varsayın, yalnızca iletildiğini değil — sunucu tüm depolama isteklerinde HTTP 200 döndürerek kabulü onayladı .
• xAI'ye bucket'ın silinip silinmediğini, hangi erişim kontrollerinin mevcut olduğunu ve bir Veri İşleme Sözleşmesi (DPA) kapsamında olup olmadığını sorun (ifşa anında hiçbiri yayınlanmamıştı) .

Herhangi bir kodlama aracısı için mimari önlemler:

• Aracıları konteynerlerde/sanal makinelerde çalıştırın, yalnızca görev dizini bağlı, ana dizin, SSH aracısı, Docker soketi ve bulut kimlik bilgisi dizinleri olmadan .
• Egress kontrolleri uygulayın: model çıkarım uç noktalarına ve kimlik doğrulama ana bilgisayarlarına izin verin, ancak doğrudan genel nesne depolama yüklemelerini reddedin. 100 MB'ı aşan aktarımlar için uyarı verin .
• Ön plan bayt sayaçlarının kaçıracağı arka plan koordinatör süreçleri tarafından yapılan yüklemeleri tespit etmek için tam ana bilgisayar paket yakalama, DNS günlüğü ve uç nokta ağ telemetrisi kullanın .
• Wire capture altında minimum ve maksimum istemleri test edin — aracıya dosyaları okumaması söylenen durumlar, bağlam penceresinin ötesinde veri sızmasını tespit etmek için kritiktir .
• En az üç istem durumu çalıştırın: (1) 'tamam, hiçbir dosyayı okuma', (2) belirli bir dosyayı oku, (3) proje dilini incele — ardından uç nokta başına baytları karşılaştırın .