Ексфільтрація даних, що суперечить маркетингу «локальної обробки»

Дослідник виявив два принципово різних канали передачі даних з машини розробника :

• Канал моделі (POST /v1/responses): файли, які агент відкривав, серіалізувалися в запити до моделі. Це очікувана поведінка хмарного AI-агента.
• Канал зберігання (POST /v1/storage): весь репозиторій незалежно пакувався як git-бандл і завантажувався частинами по ~75 МБ до бакету Google Cloud Storage з назвою grok-code-session-traces .

Масштаб розбіжності довів, що завантаження не було пов'язане з тим, що агент читав. На тестовому репозиторії об'ємом 12 ГБ канал зберігання передав 5.10 GiB у 73 частинах (усі з HTTP-відповіддю 200), тоді як канал моделі передав лише 192 КБ — співвідношення ~27 800:1 . Навіть із запитом «відповідай OK, не читай жодних файлів» інструмент завантажив весь репозиторій як git-бандл; клонування перехопленого бандлу відновило файл (src/_probe/never_read_canary.txt), який агенту було явно заборонено відкривати, а також повну історію комітів Git .

Типи секретів і файлів, переданих без редагування

• .env файли, що містять API-ключі, паролі до баз даних та інші облікові дані, передавалися дослівно, без маскування чи редагування через обидва канали . У контрольованих тестах файл розміром 48 КБ з обліковими даними бази даних і API-ключами з'явився в незашифрованому вигляді в тілі запиту .
• Кожен відстежуваний файл у репозиторії, а також повна історія Git (усі коміти, гілки, теги) були спаковані та завантажені . Це означає, що видалені секрети, які були закомічені місяцями раніше, але пізніше змінені, все ще можуть існувати в завантажених даних.
• Механізм завантаження був ідентифікований як власний Rust-крейт (xai-data-collector), вбудований у бінарний файл, з вихідними шляхами на зразок crates/codegen/xai-data-collector/src/gcs.rs та crates/codegen/xai-grok-shell/src/upload/ .
• На реальній кодовій базі розміром 12 ГБ із випадковими файлами, які ніколи не читалися, кінцева точка зберігання приймала завантаження без жодного відхилення за розміром; єдиними не-200 відповідями були помилки квоти використання моделі (402/429), а не помилки зберігання .

Невдача перемикача відмови

Дослідник перевірив перемикач конфіденційності «Improve the model» і виявив, що він не зупинив завантаження .

• Після вимкнення перемикача та перезапуску кінцева точка налаштувань сервера все одно повертала trace_upload_enabled: true .
• Канал зберігання продовжував приймати частини git-бандлів з HTTP-відповідями 200 .
• У налаштуваннях існує опція disable_codebase_upload=true, але її зв'язок із поведінкою сервера не задокументований, і тести дослідника показали, що сервер не враховував налаштування клієнта .

Рекомендації для постраждалих розробників

Дослідник та аналітичні видання рекомендують наступне :

Невідкладні дії для команд, які використовували Grok Build CLI на приватних репозиторіях:

• Змініть усі облікові дані, які існували в будь-якому .env файлі, конфігураційному файлі або історії Git у репозиторіях, що використовувалися з Grok Build, оскільки вони могли бути передані та збережені в бакеті grok-code-session-traces GCS .
• Проведіть аудит історії Git на наявність секретів, які могли існувати в минулих комітах, оскільки CLI надсилав повну історію комітів .
• Припускайте, що дані були збережені, а не просто передані — сервер повертав HTTP 200 на всі запити зберігання, підтверджуючи прийняття .
• Запитайте в xAI, чи було видалено бакет, які контролі доступу існували та чи була укладена Угода про обробку даних (на момент розкриття жодної не було опубліковано) .

Архітектурні заходи безпеки для будь-яких AI-агентів кодування:

• Запускайте агенти в контейнерах/віртуальних машинах з монтуванням лише цільової директорії, без домашньої директорії, SSH-агента, Docker-сокета та директорій з обліковими даними хмарних сервісів .
• Впровадьте контроль вихідного трафіку: дозвольте кінцеві точки інференсу моделі та автентифікації, але забороніть прямі завантаження до об'єктних сховищ. Сповіщайте про передачі даних, що перевищують 100 МБ .
• Використовуйте захоплення всього мережевого трафіку, логування DNS та мережеву телеметрію кінцевих точок для виявлення завантажень фоновими процесами, які можуть бути непомітними для звичайних лічильників байтів .
• Тестуйте мінімальні та максимальні запити під захопленням трафіку — випадки, коли агенту сказано не читати файли, є критичними для виявлення ексфільтрації за межі контекстного вікна .

Ексфільтрація даних, що суперечить маркетингу «локальної обробки»

Дослідник виявив два принципово різних канали передачі даних з машини розробника :

• Канал моделі (POST /v1/responses): файли, які агент відкривав, серіалізувалися в запити до моделі. Це очікувана поведінка хмарного AI-агента.
• Канал зберігання (POST /v1/storage): весь репозиторій незалежно пакувався як git-бандл і завантажувався частинами по ~75 МБ до бакету Google Cloud Storage з назвою grok-code-session-traces .

Масштаб розбіжності довів, що завантаження не було пов'язане з тим, що агент читав. На тестовому репозиторії об'ємом 12 ГБ канал зберігання передав 5.10 GiB у 73 частинах (усі з HTTP-відповіддю 200), тоді як канал моделі передав лише 192 КБ — співвідношення ~27 800:1 . Навіть із запитом «відповідай OK, не читай жодних файлів» інструмент завантажив весь репозиторій як git-бандл; клонування перехопленого бандлу відновило файл (src/_probe/never_read_canary.txt), який агенту було явно заборонено відкривати, а також повну історію комітів Git .

Типи секретів і файлів, переданих без редагування

• .env файли, що містять API-ключі, паролі до баз даних та інші облікові дані, передавалися дослівно, без маскування чи редагування через обидва канали . У контрольованих тестах файл розміром 48 КБ з обліковими даними бази даних і API-ключами з'явився в незашифрованому вигляді в тілі запиту .
• Кожен відстежуваний файл у репозиторії, а також повна історія Git (усі коміти, гілки, теги) були спаковані та завантажені . Це означає, що видалені секрети, які були закомічені місяцями раніше, але пізніше змінені, все ще можуть існувати в завантажених даних.
• Механізм завантаження був ідентифікований як власний Rust-крейт (xai-data-collector), вбудований у бінарний файл, з вихідними шляхами на зразок crates/codegen/xai-data-collector/src/gcs.rs та crates/codegen/xai-grok-shell/src/upload/ .
• На реальній кодовій базі розміром 12 ГБ із випадковими файлами, які ніколи не читалися, кінцева точка зберігання приймала завантаження без жодного відхилення за розміром; єдиними не-200 відповідями були помилки квоти використання моделі (402/429), а не помилки зберігання .

Невдача перемикача відмови

Дослідник перевірив перемикач конфіденційності «Improve the model» і виявив, що він не зупинив завантаження .

• Після вимкнення перемикача та перезапуску кінцева точка налаштувань сервера все одно повертала trace_upload_enabled: true .
• Канал зберігання продовжував приймати частини git-бандлів з HTTP-відповідями 200 .
• У налаштуваннях існує опція disable_codebase_upload=true, але її зв'язок із поведінкою сервера не задокументований, і тести дослідника показали, що сервер не враховував налаштування клієнта .

Рекомендації для постраждалих розробників

Дослідник та аналітичні видання рекомендують наступне :

Невідкладні дії для команд, які використовували Grok Build CLI на приватних репозиторіях:

• Змініть усі облікові дані, які існували в будь-якому .env файлі, конфігураційному файлі або історії Git у репозиторіях, що використовувалися з Grok Build, оскільки вони могли бути передані та збережені в бакеті grok-code-session-traces GCS .
• Проведіть аудит історії Git на наявність секретів, які могли існувати в минулих комітах, оскільки CLI надсилав повну історію комітів .
• Припускайте, що дані були збережені, а не просто передані — сервер повертав HTTP 200 на всі запити зберігання, підтверджуючи прийняття .
• Запитайте в xAI, чи було видалено бакет, які контролі доступу існували та чи була укладена Угода про обробку даних (на момент розкриття жодної не було опубліковано) .

Архітектурні заходи безпеки для будь-яких AI-агентів кодування:

• Запускайте агенти в контейнерах/віртуальних машинах з монтуванням лише цільової директорії, без домашньої директорії, SSH-агента, Docker-сокета та директорій з обліковими даними хмарних сервісів .
• Впровадьте контроль вихідного трафіку: дозвольте кінцеві точки інференсу моделі та автентифікації, але забороніть прямі завантаження до об'єктних сховищ. Сповіщайте про передачі даних, що перевищують 100 МБ .
• Використовуйте захоплення всього мережевого трафіку, логування DNS та мережеву телеметрію кінцевих точок для виявлення завантажень фоновими процесами, які можуть бути непомітними для звичайних лічильників байтів .
• Тестуйте мінімальні та максимальні запити під захопленням трафіку — випадки, коли агенту сказано не читати файли, є критичними для виявлення ексфільтрації за межі контекстного вікна .