Grok Build CLI 0.2.93: Таємне завантаження репозиторіїв, витік секретів та несправний захист даних

Незалежний дослідник безпеки з Cereblab (@cereblab) провів відтворюваний аналіз мережевого трафіку Grok Build CLI версії 0.2.93 від xAI за допомогою mitmproxy та опублікував повний звіт у вигляді GitHub Gist . Аналіз виявив три серйозні вразливості, які суперечать позиціонуванню xAI про «локальну обробку даних» та порушують очікування розробників щодо конфіденційності.

Ексфільтрація даних, що суперечить маркетингу «локальної обробки»

Дослідник виявив два принципово різних канали передачі даних з машини розробника :

• Канал моделі (POST /v1/responses): файли, які агент відкривав, серіалізувалися в запити до моделі. Це очікувана поведінка хмарного AI-агента.
• Канал зберігання (POST /v1/storage): весь репозиторій незалежно пакувався як git-бандл і завантажувався частинами по ~75 МБ до бакету Google Cloud Storage з назвою grok-code-session-traces .

Масштаб розбіжності довів, що завантаження не було пов'язане з тим, що агент читав. На тестовому репозиторії об'ємом 12 ГБ канал зберігання передав 5.10 GiB у 73 частинах (усі з HTTP-відповіддю 200), тоді як канал моделі передав лише 192 КБ — співвідношення ~27 800:1 . Навіть із запитом «відповідай OK, не читай жодних файлів» інструмент завантажив весь репозиторій як git-бандл; клонування перехопленого бандлу відновило файл (src/_probe/never_read_canary.txt), який агенту було явно заборонено відкривати, а також повну історію комітів Git .

Типи секретів і файлів, переданих без редагування

• .env файли, що містять API-ключі, паролі до баз даних та інші облікові дані, передавалися дослівно, без маскування чи редагування через обидва канали . У контрольованих тестах файл розміром 48 КБ з обліковими даними бази даних і API-ключами з'явився в незашифрованому вигляді в тілі запиту .
• Кожен відстежуваний файл у репозиторії, а також повна історія Git (усі коміти, гілки, теги) були спаковані та завантажені . Це означає, що видалені секрети, які були закомічені місяцями раніше, але пізніше змінені, все ще можуть існувати в завантажених даних.
• Механізм завантаження був ідентифікований як власний Rust-крейт (xai-data-collector), вбудований у бінарний файл, з вихідними шляхами на зразок crates/codegen/xai-data-collector/src/gcs.rs та crates/codegen/xai-grok-shell/src/upload/ .
• На реальній кодовій базі розміром 12 ГБ із випадковими файлами, які ніколи не читалися, кінцева точка зберігання приймала завантаження без жодного відхилення за розміром; єдиними не-200 відповідями були помилки квоти використання моделі (402/429), а не помилки зберігання .

Невдача перемикача відмови

Дослідник перевірив перемикач конфіденційності «Improve the model» і виявив, що він не зупинив завантаження .

• Після вимкнення перемикача та перезапуску кінцева точка налаштувань сервера все одно повертала trace_upload_enabled: true .
• Канал зберігання продовжував приймати частини git-бандлів з HTTP-відповідями 200 .
• У налаштуваннях існує опція disable_codebase_upload=true, але її зв'язок із поведінкою сервера не задокументований, і тести дослідника показали, що сервер не враховував налаштування клієнта .

Рекомендації для постраждалих розробників

Дослідник та аналітичні видання рекомендують наступне :

Невідкладні дії для команд, які використовували Grok Build CLI на приватних репозиторіях:

• Змініть усі облікові дані, які існували в будь-якому .env файлі, конфігураційному файлі або історії Git у репозиторіях, що використовувалися з Grok Build, оскільки вони могли бути передані та збережені в бакеті grok-code-session-traces GCS .
• Проведіть аудит історії Git на наявність секретів, які могли існувати в минулих комітах, оскільки CLI надсилав повну історію комітів .
• Припускайте, що дані були збережені, а не просто передані — сервер повертав HTTP 200 на всі запити зберігання, підтверджуючи прийняття .
• Запитайте в xAI, чи було видалено бакет, які контролі доступу існували та чи була укладена Угода про обробку даних (на момент розкриття жодної не було опубліковано) .

Архітектурні заходи безпеки для будь-яких AI-агентів кодування:

• Запускайте агенти в контейнерах/віртуальних машинах з монтуванням лише цільової директорії, без домашньої директорії, SSH-агента, Docker-сокета та директорій з обліковими даними хмарних сервісів .
• Впровадьте контроль вихідного трафіку: дозвольте кінцеві точки інференсу моделі та автентифікації, але забороніть прямі завантаження до об'єктних сховищ. Сповіщайте про передачі даних, що перевищують 100 МБ .
• Використовуйте захоплення всього мережевого трафіку, логування DNS та мережеву телеметрію кінцевих точок для виявлення завантажень фоновими процесами, які можуть бути непомітними для звичайних лічильників байтів .
• Тестуйте мінімальні та максимальні запити під захопленням трафіку — випадки, коли агенту сказано не читати файли, є критичними для виявлення ексфільтрації за межі контекстного вікна .