Grok Build CLI 0.2.93: Таємне завантаження репозиторіїв, витік секретів та несправний захист даних
Незалежний аналіз мережевого трафіку Grok Build CLI 0.2.93 показав, що інструмент таємно завантажує повні git репозиторії у вигляді бандлів до Google Cloud Storage, передаючи 5.10 GiB даних проти 192 KB трафіку моделі... Налаштування «Improve the model» не зупинило завантаження: сервер продовжував приймати частини g...
Search & fact-check with cited sources for What security flaws were revealed by a wire-level analysis of xAI's Grok Build CLI version 0.2.93Visualization of a wire-level analysis showing network flows from a developer machine to xAI's Google Cloud Storage bucket. The analysis revealed a 27,800× data disparity between model turns and background repository uploads.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What security flaws were revealed by a wire-level analysis of xAI's Grok Build CLI version 0.2.93. Article summary: Now I have comprehensive source material. Here is the fact-checked answer.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Незалежний дослідник безпеки з Cereblab (@cereblab) провів відтворюваний аналіз мережевого трафіку Grok Build CLI версії 0.2.93 від xAI за допомогою mitmproxy та опублікував повний звіт у вигляді GitHub Gist . Аналіз виявив три серйозні вразливості, які суперечать позиціонуванню xAI про «локальну обробку даних» та порушують очікування розробників щодо конфіденційності.
Ексфільтрація даних, що суперечить маркетингу «локальної обробки»
Дослідник виявив два принципово різних канали передачі даних з машини розробника :
Канал моделі (
POST /v1/responses
): файли, які агент відкривав, серіалізувалися в запити до моделі. Це очікувана поведінка хмарного AI-агента.
Канал зберігання (
POST /v1/storage
): весь репозиторій незалежно пакувався як і завантажувався частинами по ~75 МБ до бакету Google Cloud Storage з назвою .
Studio Global AI
Search, cite, and publish your own answer
Use this topic as a starting point for a fresh source-backed answer, then compare citations before you share it.
What is the short answer to "Grok Build CLI 0.2.93: Таємне завантаження репозиторіїв, витік секретів та несправний захист даних"?
Незалежний аналіз мережевого трафіку Grok Build CLI 0.2.93 показав, що інструмент таємно завантажує повні git репозиторії у вигляді бандлів до Google Cloud Storage, передаючи 5.10 GiB даних проти 192 KB трафіку моделі...
What are the key points to validate first?
Незалежний аналіз мережевого трафіку Grok Build CLI 0.2.93 показав, що інструмент таємно завантажує повні git репозиторії у вигляді бандлів до Google Cloud Storage, передаючи 5.10 GiB даних проти 192 KB трафіку моделі... Налаштування «Improve the model» не зупинило завантаження: сервер продовжував приймати частини git бандлів з HTTP відповідями 200 навіть після вимкнення опції.
What should I do next in practice?
Постраждалі розробники мають негайно змінити всі облікові дані, які були в .env файлах чи історії Git, а також запускати будь які AI агенти в ізольованому середовищі з контролем вихідного трафіку.
Масштаб розбіжності довів, що завантаження не було пов'язане з тим, що агент читав. На тестовому репозиторії об'ємом 12 ГБ канал зберігання передав 5.10 GiB у 73 частинах (усі з HTTP-відповіддю 200), тоді як канал моделі передав лише 192 КБ — співвідношення ~27 800:1. Навіть із запитом «відповідай OK, не читай жодних файлів» інструмент завантажив весь репозиторій як git-бандл; клонування перехопленого бандлу відновило файл (src/_probe/never_read_canary.txt), який агенту було явно заборонено відкривати, а також повну історію комітів Git .
Типи секретів і файлів, переданих без редагування
.env файли, що містять API-ключі, паролі до баз даних та інші облікові дані, передавалися дослівно, без маскування чи редагування через обидва канали . У контрольованих тестах файл розміром 48 КБ з обліковими даними бази даних і API-ключами з'явився в незашифрованому вигляді в тілі запиту .
Кожен відстежуваний файл у репозиторії, а також повна історія Git (усі коміти, гілки, теги) були спаковані та завантажені . Це означає, що видалені секрети, які були закомічені місяцями раніше, але пізніше змінені, все ще можуть існувати в завантажених даних.
Механізм завантаження був ідентифікований як власний Rust-крейт (xai-data-collector), вбудований у бінарний файл, з вихідними шляхами на зразок crates/codegen/xai-data-collector/src/gcs.rs та crates/codegen/xai-grok-shell/src/upload/.
На реальній кодовій базі розміром 12 ГБ із випадковими файлами, які ніколи не читалися, кінцева точка зберігання приймала завантаження без жодного відхилення за розміром; єдиними не-200 відповідями були помилки квоти використання моделі (402/429), а не помилки зберігання .
Невдача перемикача відмови
Дослідник перевірив перемикач конфіденційності «Improve the model» і виявив, що він не зупинив завантаження.
Після вимкнення перемикача та перезапуску кінцева точка налаштувань сервера все одно повертала
trace_upload_enabled: true
.
Канал зберігання продовжував приймати частини git-бандлів з HTTP-відповідями 200 .
У налаштуваннях існує опція disable_codebase_upload=true, але її зв'язок із поведінкою сервера не задокументований, і тести дослідника показали, що сервер не враховував налаштування клієнта .
Рекомендації для постраждалих розробників
Дослідник та аналітичні видання рекомендують наступне :
Невідкладні дії для команд, які використовували Grok Build CLI на приватних репозиторіях:
Змініть усі облікові дані, які існували в будь-якому .env файлі, конфігураційному файлі або історії Git у репозиторіях, що використовувалися з Grok Build, оскільки вони могли бути передані та збережені в бакеті grok-code-session-traces GCS .
Проведіть аудит історії Git на наявність секретів, які могли існувати в минулих комітах, оскільки CLI надсилав повну історію комітів .
Припускайте, що дані були збережені, а не просто передані — сервер повертав HTTP 200 на всі запити зберігання, підтверджуючи прийняття .
Запитайте в xAI, чи було видалено бакет, які контролі доступу існували та чи була укладена Угода про обробку даних (на момент розкриття жодної не було опубліковано) .
Архітектурні заходи безпеки для будь-яких AI-агентів кодування:
Запускайте агенти в контейнерах/віртуальних машинах з монтуванням лише цільової директорії, без домашньої директорії, SSH-агента, Docker-сокета та директорій з обліковими даними хмарних сервісів .
Впровадьте контроль вихідного трафіку: дозвольте кінцеві точки інференсу моделі та автентифікації, але забороніть прямі завантаження до об'єктних сховищ. Сповіщайте про передачі даних, що перевищують 100 МБ .
Використовуйте захоплення всього мережевого трафіку, логування DNS та мережеву телеметрію кінцевих точок для виявлення завантажень фоновими процесами, які можуть бути непомітними для звичайних лічильників байтів .
Тестуйте мінімальні та максимальні запити під захопленням трафіку — випадки, коли агенту сказано не читати файли, є критичними для виявлення ексфільтрації за межі контекстного вікна .
