📰The Verge•最新收集於 5m
SpaceXAI 的 Grok 工具被發現將整個代碼庫上傳至雲端
💡嚴重的隱私漏洞：Grok Build 未經同意即將整個代碼庫與已刪除的機密洩漏至雲端。
⚡ 30-Second TL;DR
有什麼變化
Grok Build CLI 被發現會將整個儲存庫上傳至 Google Cloud。
為什麼重要
此事件凸顯了缺乏透明數據處理機制的 AI 編碼助手存在嚴重的隱私風險。這可能會導致外界對 AI 工具如何管理專有原始碼與敏感憑證進行更嚴格的審查。
下一步行動
若您正在處理專有或敏感代碼庫，請審核您的 AI 編碼助手的網路流量，或改用僅限本地運行的模型。
誰應關注：Developers & AI Engineers
關鍵要點
- •Grok Build CLI 被發現會將整個儲存庫上傳至 Google Cloud。
- •該工具無視「禁止開啟」的指令，且包含已刪除的歷史機密。
- •數據保留行為比 Claude Code 等同類工具更為激進。
- •SpaceXAI 已發布 disable_codebase_upload 旗標以停止該行為。
🧠 深度解析
AI-generated analysis for this event.
🔑 增強重點摘要
- •資安研究人員指出，該漏洞源於 Grok Build CLI 在預設配置下未正確解析 .gitignore 檔案，導致包含 .env、API 金鑰及私鑰的敏感檔案被一併上傳。
- •SpaceXAI 的雲端儲存桶配置被發現缺乏適當的存取控制權限，這意味著若攻擊者獲取了特定的儲存桶路徑，可能導致大規模的企業代碼外洩。
- •此次事件引發了開發者社群對於 AI 代理（AI Agents）在本地環境執行時，隱私邊界與數據遙測（Telemetry）透明度的廣泛質疑。
- •除了代碼庫外，該工具還會自動收集開發者的終端機操作歷史（Shell History），這進一步擴大了潛在的數據暴露範圍。
- •SpaceXAI 在修復過程中，除了引入 disable_codebase_upload 旗標外，還承諾將對所有已上傳至 Google Cloud 的歷史數據進行強制刪除與加密審計。
📊 競品分析▸ Show
| 特性 | SpaceXAI (Grok Build) | Claude Code | Cursor (Composer) |
|---|---|---|---|
| 數據隱私 | 曾發生自動上傳漏洞 | 預設僅傳送必要上下文 | 本地優先，可選雲端同步 |
| 代碼庫存取 | 全量上傳（已修復） | 選擇性索引 | 向量化本地索引 |
| 定價模式 | 訂閱制 | 依 API 使用量計費 | 訂閱制 |
| 主要優勢 | 與 Grok 模型深度整合 | 高度精確的代碼理解 | 整合 IDE 的無縫體驗 |
🛠️ 技術深入
- 漏洞機制：Grok Build CLI 使用了不安全的遞迴檔案掃描演算法，該演算法在執行時會忽略標準的排除規則（Exclusion Rules）。
- 數據傳輸：工具利用 Google Cloud Storage 的預簽名 URL（Presigned URLs）進行數據傳輸，但未在客戶端進行端對端加密。
- 遙測架構：該 CLI 工具內建了一個名為 'telemetry-agent' 的背景進程，負責監控檔案系統變更並觸發同步請求。
- 權限模型：該工具在執行時要求過高的系統權限（Root/Admin），以便讀取受保護的系統檔案與隱藏目錄。
🔮 前景展望AI analysis grounded in cited sources
AI 開發工具將強制實施『隱私沙盒』架構
此事件將迫使業界採用更嚴格的隔離技術，確保 AI 代理僅能存取經用戶明確授權的特定目錄。
企業將大規模禁止使用未經審計的 CLI AI 工具
由於代碼庫外洩風險過高，企業資安部門將會針對開發者工具實施更嚴格的白名單與流量監控政策。
⏳ 時間線
2026-03
SpaceXAI 發布 Grok Build CLI 工具，主打自動化代碼重構功能
2026-06
研究人員首次發現 Grok Build CLI 存在異常的網路流量輸出行為
2026-07
資安報告公開，證實代碼庫與敏感機密被上傳至 Google Cloud
2026-07
SpaceXAI 緊急發布更新，停用自動上傳功能並引入安全旗標
📰
AI 週報
閱讀本週精選 AI 大事摘要 →
👉相關動態
AI 策展新聞聚合。所有內容版權歸原始發布者所有。
原始來源： The Verge ↗