xAI Grok Build CLI 0.2.93 安全漏洞：封包層級分析揭露靜默全倉上傳、未修訂的機密資料與失靈的退出機制

數據傳輸的巨大規模差異證明，上傳行為並非由代理程式讀取了哪些檔案所驅動。在一個 12 GB 的測試儲存庫中，儲存通道移動了 5.10 GiB 的數據，共 73 個區塊（所有請求均返回 HTTP 200 狀態碼），而模型交互通道僅傳輸了 192 KB——兩者比例高達 約 27,800 倍 。即使研究人員下達「回覆 OK，不要讀取任何檔案」的提示，該工具仍會將整個儲存庫以 git bundle 形式上傳；研究人員克隆攔截到的 bundle 後，成功還原出代理程式被明確告知「不要開啟」的檔案 (src/_probe/never_read_canary.txt)，以及完整的 Git 提交歷史 。

未經修訂即傳輸的機密資訊與檔案類型

• 包含 API 金鑰、資料庫密碼及其他憑證的 .env 檔案，經由兩個通道以原樣、未經任何遮蔽或修訂的方式被傳輸 。在控制的測試中，一個包含資料庫憑證和 API 金鑰的 48 KB 檔案，其內容在請求體中以明文形式清晰可辨 。
• 儲存庫中的每個受追蹤檔案，加上完整的 Git 歷史記錄（所有提交、分支、標籤）都被打包並上傳 。這意味著，幾個月前提交但後來已輪替的機密，仍可能存在於上傳的數據中。
• 研究人員識別出上傳機制來自二進位檔中的第一方 Rust crate（xai-data-collector），其原始碼路徑包含 crates/codegen/xai-data-collector/src/gcs.rs 和 crates/codegen/xai-grok-shell/src/upload/ 。
• 在一個從未被讀取的隨機檔案組成的真實 12 GB 程式碼庫測試中，儲存端點未因檔案大小而拒絕上傳；唯一出現的非 HTTP 200 回應是模型使用配額錯誤 (402/429)，而並非儲存相關的失敗 。

選擇退出功能完全失靈

研究人員測試了「改善模型 (Improve the model)」隱私設定按鈕，發現它完全無法阻止上傳行為。

• 在關閉該按鈕並重新啟動工具後，伺服器設定端點仍然回傳

  trace_upload_enabled: true

  。
• 儲存通道持續以 HTTP 200 回應接收分塊的 git bundle 上傳 。
• 在工具設置中存在一個 disable_codebase_upload=true 的設定選項，但它與伺服器端行為的關聯性並無文件說明，且研究人員的測試顯示伺服器並未遵循客戶端的偏好設定 。

給受影響開發者的建議緩解措施

原始研究人員及後續的分析報導提出以下建議 ：

曾對私有儲存庫使用 Grok Build CLI 的團隊應立即採取的行動：

• 輪替所有曾存在於 .env 檔案、設定檔或 Git 歷史中的憑證，因為它們可能已被傳輸並儲存在 grok-code-session-traces GCS 儲存桶中 。
• 審查 Git 歷史，檢查是否存在任何過去提交中可能存在的機密資訊，因為 CLI 會傳送完整的提交歷史 。
• 假設數據已被儲存，而不僅僅是傳輸——伺服器對所有儲存請求皆回傳 HTTP 200，確認數據已被接收 。
• 主動向 xAI 查詢該儲存桶是否已被刪除、其存取控制為何，以及是否有適用的數據處理協議（在揭露時尚未發布相關協議）。

針對任何程式碼代理的架構性緩解措施：

• 在容器或虛擬機器中執行代理程式，僅掛載工作目錄，避免掛載家目錄、SSH 代理、Docker socket 和任何雲端憑證目錄 。
• 實施出口流量控制：允許模型推論端點和驗證主機的流量，但禁止直接向通用物件儲存服務的上傳行為。對超過 100 MB 的傳輸量發出警報 。
• 使用全主機封包捕獲、DNS 日誌及端點網路遙測，以偵測前檯位元組計數器可能遺漏的背景協調程序上傳行為 。
• 在封包捕獲環境下測試最小化及最大化提示——特別是當代理程式被要求「不要讀取檔案」時，是偵測超出語境窗口的數據外洩行為的關鍵場景 。
• 至少執行三種提示情境：(1) 「回覆 OK，不要讀取任何檔案」，(2) 讀取一個特定檔案，(3) 檢查專案語言——然後比較每個端點的位元組數 。