馬斯克承諾清除Grok Build向雲端上傳完整倉庫的資料

網路安全研究員Cereblab於2026年7月14日釋出報告，揭露了xAI（SpaceXAI）開發的命令列工具Grok Build存在嚴重隱私問題。該工具會在使用者響應提示時，將整個程式碼倉庫（包括完整的Git歷史記錄）上傳到谷歌雲端儲存桶中，即使提示僅要求回答“OK”並明確指示不要開啟任何檔案。更令人擔憂的是，上傳的Git歷史中包含數月前已刪除的秘密資訊，如SSH金鑰和密碼管理器資料庫。Cereblab透過一個簡單的測試證明了這一行為：他們向Grok Build發出指令，要求僅回覆“OK”並禁止開啟任何檔案，但工具仍然上傳了完整的倉庫。這一發現隨後被其他使用者證實，有人報告稱其整個使用者目錄（包含敏感憑證）被開啟並上傳。

xAI高管及埃隆·馬斯克本人迅速回應。xAI透過設定伺服器端全域性標誌disable_codebase_upload為true，停止了完整倉庫的上傳。馬斯克在社交媒體上承諾，將“完全徹底刪除”此前上傳的所有使用者資料，並鼓勵使用者繼續分享資料以幫助除錯。然而，The Register無法獨立驗證這一承諾是否兌現。xAI還發布宣告稱，對於啟用零資料保留（ZDR）的企業客戶，不會保留任何程式碼資料；對於未啟用ZDR的使用者，可透過執行/privacy命令停用資料保留並刪除已同步資料。

但研究人員Cereblab對xAI的回應表示不滿。他們指出，實際上停止上傳的是伺服器端的全域性標誌，而非/privacy命令。/privacy命令只是一個每個會話的資料保留開關，並非修復問題的關鍵。研究人員認為，正確的預設設定應該是禁止上傳，而不是要求使用者在每個會話後手動退出。與其他類似工具（如Claude Code、Gemini、Codex）相比，Grok Build的行為更為激進——這些工具通常只開啟單個檔案而非整個倉庫。安全社群普遍認為，AI開發工具應預設不收集使用者資料，或至少提供清晰的選擇機制。目前，Grok Build已停止批次上傳，但使用者仍需保持警惕，並定期檢查隱私設定。