數據外洩行為同「本地優先」宣傳相矛盾

研究人員發現開發者電腦有兩條性質唔同嘅數據傳送路徑：

• 模型對話通道（POST /v1/responses）：代理打開嘅檔案會序列化到模型請求入面。呢個係雲端編碼代理嘅正常行為。
• 存儲通道（POST /v1/storage）：整個倉庫會被獨立打包成一個 git bundle，然後以大約 75 MB 一個嘅區塊上傳到一個叫 grok-code-session-traces 嘅 Google Cloud Storage 儲存桶。

呢個規模嘅差異證明咗上傳行為唔係由代理讀取嘅檔案驅動嘅。喺一個 12 GB 嘅測試倉庫中，存儲通道傳送咗 5.10 GiB 嘅數據，分咗 73 個區塊（全部返回 HTTP 200 狀態碼），而模型對話通道只傳輸咗 192 KB — 比例高達 ~27,800 倍。就算畀咗「只答 OK，唔好讀任何檔案」呢個提示，工具仍然會將整個倉庫上傳成 git bundle；將攔截到嘅 bundle 克隆返出嚟，可以還原到一個叫 src/_probe/never_read_canary.txt 嘅檔案（代理被明確禁止打開嘅），仲有完整嘅 Git 提交歷史。

無脫敏傳送嘅密鑰同檔案類型

• .env 檔案入面嘅 API 金鑰、數據庫密碼同其他憑證，喺兩個通道中都係以明文原樣傳送，完全冇遮蓋或脫敏。喺控制測試中，一個 48 KB 嘅檔案，入面包含數據庫憑證同 API 金鑰，喺請求主體入面清清楚楚噉出現。
• 倉庫入面所有被追蹤嘅檔案，加上完整嘅 Git 歷史（所有提交、分支、標籤）都被打包上傳。呢個意味住幾個月前提交咗但後來已經輪換嘅密鑰，仍然可能存在喺上傳咗嘅數據入面。
• 上傳機制被確認係二進制檔入面嘅一個第一方 Rust crate（xai-data-collector），源碼路徑包括 crates/codegen/xai-data-collector/src/gcs.rs 同 crates/codegen/xai-grok-shell/src/upload/ 。
• 喺一個用從未讀取過嘅隨機檔案組成嘅真實 12 GB 代碼庫測試中，存儲端點接受咗上傳，冇任何基於大小嘅拒絕；唯一非 200 嘅回應係模型使用配額錯誤（402/429），而唔係存儲失敗。

退出選項開關失效

研究人員測試咗「改善模型（Improve the model）」私隱開關，發現佢根本冇停止到上傳。

• 關閉開關並重啟之後，伺服器設定端點仍然返回 trace_upload_enabled: true 。
• 存儲通道繼續以 HTTP 200 回應接受分塊嘅 git bundle 上傳。
• 喺 harness 設定入面存在一個 disable_codebase_upload=true 嘅配置選項，但佢同伺服器端行為嘅關係並冇文件說明，而且研究人員嘅測試顯示伺服器並唔尊重客戶端嘅偏好設定。

畀受影響開發者嘅建議緩解措施

原始研究人員同後續分析媒體建議以下措施：

用過 Grok Build CLI 喺私人倉庫嘅團隊，應該立即做嘅嘢：

• 輪換所有憑證，包括任何喺用 Grok Build 嘅倉庫入面出現過喺 .env 檔案、配置檔案或 Git 歷史嘅憑證，因為佢哋可能已經被傳送並儲存喺 grok-code-session-traces GCS 儲存桶。
• 審計 Git 歷史，檢查過去任何提交入面可能出現過嘅密鑰，因為 CLI 傳送咗完整嘅提交歷史。
• 假設數據已經被儲存，而唔單止係傳送咗 — 伺服器對所有存儲請求都返回 HTTP 200，確認咗已經接收。
• 向 xAI 查詢該儲存桶係咪已經刪除、存在咩訪問控制、以及係咪有數據處理協議（DPA）涵蓋（披露時並無公開）。

任何編碼代理嘅架構緩解措施：

• 喺容器/VM 入面運行代理，只掛載任務目錄，唔好掛載 home 目錄、SSH agent、Docker socket 或者任何雲端憑證目錄。
• 實施出口控制：允許模型推理端點同認證主機，但拒絕直接嘅通用對象存儲上傳。對超過 100 MB 嘅傳送發出警報。
• 使用完整主機封包捕獲、DNS 記錄同端點網絡遙測，去檢測背景協調進程嘅上傳活動，呢啲係前景字節計數器會忽略嘅。
• 喺封包捕獲下測試最少同最多提示嘅情況 — 尤其係指示代理唔好讀檔案嘅案例，對於檢測超越語境窗口嘅數據外洩好關鍵。
• 至少運行三個提示案例：(1)「只答 OK，唔好讀任何檔案」(2) 讀一個特定檔案 (3) 檢查項目語言 — 然後比較每個端點嘅字節數。

數據外洩行為同「本地優先」宣傳相矛盾

研究人員發現開發者電腦有兩條性質唔同嘅數據傳送路徑：

• 模型對話通道（POST /v1/responses）：代理打開嘅檔案會序列化到模型請求入面。呢個係雲端編碼代理嘅正常行為。
• 存儲通道（POST /v1/storage）：整個倉庫會被獨立打包成一個 git bundle，然後以大約 75 MB 一個嘅區塊上傳到一個叫 grok-code-session-traces 嘅 Google Cloud Storage 儲存桶。

呢個規模嘅差異證明咗上傳行為唔係由代理讀取嘅檔案驅動嘅。喺一個 12 GB 嘅測試倉庫中，存儲通道傳送咗 5.10 GiB 嘅數據，分咗 73 個區塊（全部返回 HTTP 200 狀態碼），而模型對話通道只傳輸咗 192 KB — 比例高達 ~27,800 倍。就算畀咗「只答 OK，唔好讀任何檔案」呢個提示，工具仍然會將整個倉庫上傳成 git bundle；將攔截到嘅 bundle 克隆返出嚟，可以還原到一個叫 src/_probe/never_read_canary.txt 嘅檔案（代理被明確禁止打開嘅），仲有完整嘅 Git 提交歷史。

無脫敏傳送嘅密鑰同檔案類型

• .env 檔案入面嘅 API 金鑰、數據庫密碼同其他憑證，喺兩個通道中都係以明文原樣傳送，完全冇遮蓋或脫敏。喺控制測試中，一個 48 KB 嘅檔案，入面包含數據庫憑證同 API 金鑰，喺請求主體入面清清楚楚噉出現。
• 倉庫入面所有被追蹤嘅檔案，加上完整嘅 Git 歷史（所有提交、分支、標籤）都被打包上傳。呢個意味住幾個月前提交咗但後來已經輪換嘅密鑰，仍然可能存在喺上傳咗嘅數據入面。
• 上傳機制被確認係二進制檔入面嘅一個第一方 Rust crate（xai-data-collector），源碼路徑包括 crates/codegen/xai-data-collector/src/gcs.rs 同 crates/codegen/xai-grok-shell/src/upload/ 。
• 喺一個用從未讀取過嘅隨機檔案組成嘅真實 12 GB 代碼庫測試中，存儲端點接受咗上傳，冇任何基於大小嘅拒絕；唯一非 200 嘅回應係模型使用配額錯誤（402/429），而唔係存儲失敗。

退出選項開關失效

研究人員測試咗「改善模型（Improve the model）」私隱開關，發現佢根本冇停止到上傳。

• 關閉開關並重啟之後，伺服器設定端點仍然返回 trace_upload_enabled: true 。
• 存儲通道繼續以 HTTP 200 回應接受分塊嘅 git bundle 上傳。
• 喺 harness 設定入面存在一個 disable_codebase_upload=true 嘅配置選項，但佢同伺服器端行為嘅關係並冇文件說明，而且研究人員嘅測試顯示伺服器並唔尊重客戶端嘅偏好設定。

畀受影響開發者嘅建議緩解措施

原始研究人員同後續分析媒體建議以下措施：

用過 Grok Build CLI 喺私人倉庫嘅團隊，應該立即做嘅嘢：

• 輪換所有憑證，包括任何喺用 Grok Build 嘅倉庫入面出現過喺 .env 檔案、配置檔案或 Git 歷史嘅憑證，因為佢哋可能已經被傳送並儲存喺 grok-code-session-traces GCS 儲存桶。
• 審計 Git 歷史，檢查過去任何提交入面可能出現過嘅密鑰，因為 CLI 傳送咗完整嘅提交歷史。
• 假設數據已經被儲存，而唔單止係傳送咗 — 伺服器對所有存儲請求都返回 HTTP 200，確認咗已經接收。
• 向 xAI 查詢該儲存桶係咪已經刪除、存在咩訪問控制、以及係咪有數據處理協議（DPA）涵蓋（披露時並無公開）。

任何編碼代理嘅架構緩解措施：

• 喺容器/VM 入面運行代理，只掛載任務目錄，唔好掛載 home 目錄、SSH agent、Docker socket 或者任何雲端憑證目錄。
• 實施出口控制：允許模型推理端點同認證主機，但拒絕直接嘅通用對象存儲上傳。對超過 100 MB 嘅傳送發出警報。
• 使用完整主機封包捕獲、DNS 記錄同端點網絡遙測，去檢測背景協調進程嘅上傳活動，呢啲係前景字節計數器會忽略嘅。
• 喺封包捕獲下測試最少同最多提示嘅情況 — 尤其係指示代理唔好讀檔案嘅案例，對於檢測超越語境窗口嘅數據外洩好關鍵。
• 至少運行三個提示案例：(1)「只答 OK，唔好讀任何檔案」(2) 讀一個特定檔案 (3) 檢查項目語言 — 然後比較每個端點嘅字節數。