研究发现，从开发者电脑中发出的数据分为两条性质截然不同的路径：

• 模型交互通道 (POST /v1/responses)：代理打开的文件被序列化后，通过模型请求发送。这是云端编码助手的正常行为。
• 存储通道 (POST /v1/storage)：整个代码仓库被独立打包成一个 git bundle，然后以约 75 MB 为一个数据块，上传至名为 grok-code-session-traces 的 Google Cloud Storage 存储桶。

数据量的巨大差异证明了上传行为并非由代理读取了什么文件所驱动。在一个 12 GB 的测试仓库上，存储通道上传了 5.10 GiB 的数据，共 73 个数据块（所有请求均返回 HTTP 200 状态码），而模型交互通道仅传输了 192 KB——两者比例高达 约 27,800 倍。即使在提示词中明确要求“只回复 OK，不要读取任何文件”的情况下，该工具依然会将整个仓库作为 git bundle 上传；通过克隆抓包截获的 bundle 文件，可以恢复出一个名为 src/_probe/never_read_canary.txt 的“哨兵文件”（该文件明确指示代理不要打开），以及完整的 git 提交历史。

未经脱敏即传输的密钥与文件类型

• .env 文件中包含的 API 密钥、数据库密码及其他凭证，通过两条通道原封不动、毫无遮挡地被传输。在受控测试中，一个包含了数据库凭证和 API 密钥的 48 KB 文件，其内容在请求体中“清晰可见”。
• 仓库中的每个被追踪文件，以及完整的 git 历史（包括所有提交、分支和标签），都被打包并上传。这意味着，几个月前提交过、之后已轮换的密钥，可能依然存在于已上传的数据中。
• 上传功能的底层代码被确定为内嵌于二进制文件中的一个 XAI 自有 Rust crate (xai-data-collector)，其源代码路径包括 crates/codegen/xai-data-collector/src/gcs.rs 和 crates/codegen/xai-grok-shell/src/upload/。
• 在一个装满从未被读取过的随机文件的 12 GB 真实代码库上，存储端点接受了所有上传，没有任何基于大小的拒绝机制；唯一的非 200 响应是模型用量配额错误（402/429），而非存储失败。

隐私开关完全失效

研究员测试了“改进模型”（Improve the model）隐私开关，发现它根本未能阻止数据上传。

• 关闭此开关并重启工具后，服务器设置端点仍然返回 trace_upload_enabled: true。
• 存储通道继续以 HTTP 200 响应接收分块上传的 git bundle 数据。
• 虽然测试平台（harness）的设置中存在一个名为 disable_codebase_upload=true 的配置选项，但其与服务器端行为的关联未经文档说明，且研究员的测试表明，服务器并未尊重客户端的偏好设置。

给受影响开发者的建议

原始研究员及后续的分析文章给出了以下建议：

曾将 Grok Build CLI 用于私有仓库的团队应立即采取以下措施：

• 轮换所有凭证，包括曾出现在任何 .env 文件、配置文件或 git 历史记录中的所有凭据，因为它们可能已被传输并存储在 grok-code-session-traces GCS 存储桶中。
• 审计 git 历史，查找任何历史提交中可能存在的密钥，因为 CLI 上传了完整的提交历史。
• 假定数据已被存储，而不仅仅是传输——服务器对所有存储请求均返回 HTTP 200，确认已接受数据。
• 向 xAI 询问该存储桶是否已被删除、其访问控制策略是什么，以及是否有相应的数据处理协议（在披露时，未发现已发布的此类协议）。

从架构层面防范任何编码代理的安全风险：

• 在容器或虚拟机中运行代理，仅挂载任务目录，不挂载家目录、SSH 代理、Docker 套接字和云凭据目录。
• 实施出口流量控制：允许模型推理端点和认证主机，但禁止直接向通用对象存储上传数据。当数据传输超过 100 MB 时发出警报。
• 使用全主机数据包捕获、DNS 日志记录和端点网络遥测，以检测前台字节计数器可能遗漏的后台协调进程发起的上传。
• 在流量捕获环境下测试最小和最大提示词——特别是在指示代理不要读取文件的情况下，这对于检测超出上下文窗口的外泄行为至关重要。
• 运行至少三种提示词场景：(1) “只回复 OK，不要读取任何文件”；(2) 读取一个特定文件；(3) 检查项目语言。然后对比每个端点的传输字节量。

研究发现，从开发者电脑中发出的数据分为两条性质截然不同的路径：

• 模型交互通道 (POST /v1/responses)：代理打开的文件被序列化后，通过模型请求发送。这是云端编码助手的正常行为。
• 存储通道 (POST /v1/storage)：整个代码仓库被独立打包成一个 git bundle，然后以约 75 MB 为一个数据块，上传至名为 grok-code-session-traces 的 Google Cloud Storage 存储桶。

数据量的巨大差异证明了上传行为并非由代理读取了什么文件所驱动。在一个 12 GB 的测试仓库上，存储通道上传了 5.10 GiB 的数据，共 73 个数据块（所有请求均返回 HTTP 200 状态码），而模型交互通道仅传输了 192 KB——两者比例高达 约 27,800 倍。即使在提示词中明确要求“只回复 OK，不要读取任何文件”的情况下，该工具依然会将整个仓库作为 git bundle 上传；通过克隆抓包截获的 bundle 文件，可以恢复出一个名为 src/_probe/never_read_canary.txt 的“哨兵文件”（该文件明确指示代理不要打开），以及完整的 git 提交历史。

未经脱敏即传输的密钥与文件类型

• .env 文件中包含的 API 密钥、数据库密码及其他凭证，通过两条通道原封不动、毫无遮挡地被传输。在受控测试中，一个包含了数据库凭证和 API 密钥的 48 KB 文件，其内容在请求体中“清晰可见”。
• 仓库中的每个被追踪文件，以及完整的 git 历史（包括所有提交、分支和标签），都被打包并上传。这意味着，几个月前提交过、之后已轮换的密钥，可能依然存在于已上传的数据中。
• 上传功能的底层代码被确定为内嵌于二进制文件中的一个 XAI 自有 Rust crate (xai-data-collector)，其源代码路径包括 crates/codegen/xai-data-collector/src/gcs.rs 和 crates/codegen/xai-grok-shell/src/upload/。
• 在一个装满从未被读取过的随机文件的 12 GB 真实代码库上，存储端点接受了所有上传，没有任何基于大小的拒绝机制；唯一的非 200 响应是模型用量配额错误（402/429），而非存储失败。

隐私开关完全失效

研究员测试了“改进模型”（Improve the model）隐私开关，发现它根本未能阻止数据上传。

• 关闭此开关并重启工具后，服务器设置端点仍然返回 trace_upload_enabled: true。
• 存储通道继续以 HTTP 200 响应接收分块上传的 git bundle 数据。
• 虽然测试平台（harness）的设置中存在一个名为 disable_codebase_upload=true 的配置选项，但其与服务器端行为的关联未经文档说明，且研究员的测试表明，服务器并未尊重客户端的偏好设置。

给受影响开发者的建议

原始研究员及后续的分析文章给出了以下建议：

曾将 Grok Build CLI 用于私有仓库的团队应立即采取以下措施：

• 轮换所有凭证，包括曾出现在任何 .env 文件、配置文件或 git 历史记录中的所有凭据，因为它们可能已被传输并存储在 grok-code-session-traces GCS 存储桶中。
• 审计 git 历史，查找任何历史提交中可能存在的密钥，因为 CLI 上传了完整的提交历史。
• 假定数据已被存储，而不仅仅是传输——服务器对所有存储请求均返回 HTTP 200，确认已接受数据。
• 向 xAI 询问该存储桶是否已被删除、其访问控制策略是什么，以及是否有相应的数据处理协议（在披露时，未发现已发布的此类协议）。

从架构层面防范任何编码代理的安全风险：

• 在容器或虚拟机中运行代理，仅挂载任务目录，不挂载家目录、SSH 代理、Docker 套接字和云凭据目录。
• 实施出口流量控制：允许模型推理端点和认证主机，但禁止直接向通用对象存储上传数据。当数据传输超过 100 MB 时发出警报。
• 使用全主机数据包捕获、DNS 日志记录和端点网络遥测，以检测前台字节计数器可能遗漏的后台协调进程发起的上传。
• 在流量捕获环境下测试最小和最大提示词——特别是在指示代理不要读取文件的情况下，这对于检测超出上下文窗口的外泄行为至关重要。
• 运行至少三种提示词场景：(1) “只回复 OK，不要读取任何文件”；(2) 读取一个特定文件；(3) 检查项目语言。然后对比每个端点的传输字节量。