馬斯克承諾清除Grok Build向雲端上傳完整倉庫的數據

網絡安全研究員Cereblab於2026年7月14日發佈報告，揭露了xAI（SpaceXAI）開發的命令行工具Grok Build存在嚴重隱私問題。該工具會在用户響應提示時，將整個代碼倉庫（包括完整的Git歷史記錄）上傳到谷歌雲存儲桶中，即使提示僅要求回答“OK”並明確指示不要打開任何文件。更令人擔憂的是，上傳的Git歷史中包含數月前已刪除的秘密信息，如SSH密鑰和密碼管理器數據庫。Cereblab通過一個簡單的測試證明了這一行為：他們向Grok Build發出指令，要求僅回覆“OK”並禁止打開任何文件，但工具仍然上傳了完整的倉庫。這一發現隨後被其他用户證實，有人報告稱其整個用户目錄（包含敏感憑證）被打開並上傳。

xAI高管及埃隆·馬斯克本人迅速回應。xAI通過設置服務器端全局標誌disable_codebase_upload為true，停止了完整倉庫的上傳。馬斯克在社交媒體上承諾，將“完全徹底刪除”此前上傳的所有用户數據，並鼓勵用户繼續分享數據以幫助調試。然而，The Register無法獨立驗證這一承諾是否兑現。xAI還發布聲明稱，對於啓用零數據保留（ZDR）的企業客户，不會保留任何代碼數據；對於未啓用ZDR的用户，可通過運行/privacy命令禁用數據保留並刪除已同步數據。

但研究人員Cereblab對xAI的回應表示不滿。他們指出，實際上停止上傳的是服務器端的全局標誌，而非/privacy命令。/privacy命令只是一個每個會話的數據保留開關，並非修復問題的關鍵。研究人員認為，正確的默認設置應該是禁止上傳，而不是要求用户在每個會話後手動退出。與其他類似工具（如Claude Code、Gemini、Codex）相比，Grok Build的行為更為激進——這些工具通常只打開單個文件而非整個倉庫。安全社區普遍認為，AI開發工具應默認不收集用户數據，或至少提供清晰的選擇機制。目前，Grok Build已停止批量上傳，但用户仍需保持警惕，並定期檢查隱私設置。