xAI 被曝静默上传用户代码仓库
推荐指数 31.0 NO. 016 · 2026.07.14
发布2026/07/13Score95Comments2
为什么值得看
安全研究员通过抓包发现 xAI 的 Grok Build CLI 会将完整 Git 仓库（含全部历史记录）上传至公司控制的 Google Cloud 存储桶。xAI 已悄悄关闭该功能，但未就此前收集的代码去向作出任何说明。
编辑判断
这种静默上传模式在 AI 编程工具中并非孤例——GitHub Copilot 早期也曾因训练数据抓取引发争议，但 Grok 的做法更激进：完整 Git 历史意味着提交信息、分支名、甚至已删除的敏感文件都可能暴露。xAI 选择服务器端热修复而非客户端更新，说明问题出在架构设计而非单个 bug。
如果你在用任何 AI 编程助手处理商业代码，建议立即做三件事：检查工具的网络流量（mitmproxy 或 Wireshark 即可）、在 .gitignore 同级目录设置隔离沙箱、优先选择支持本地模型或明确数据驻留条款的工具。创业团队尤其要注意，代码泄露可能直接触发投资人尽调时的合规红灯。
社区反馈
负面 2 条评论
核心争论：xAI静默收集用户代码且未说明数据去向，引发信任危机
相关内容
> according to follow-up testing by the security researcher who exposed the behavior. This behavior was originally discussed here: "What xAI's Grok build CLI sends to xAI: A wire-level analysis" https://news.ycombinator.com/item?id=48877371 509 points | 1 day ago | 203 comments
Thanks! Comments merged thither. See also this related ongoing thread: Grok CLI uploaded the whole home directory to GCS - https://news.ycombinator.com/item?id=48892468