xAI cam kết xóa dữ liệu sau khi Grok Build bị phát hiện gửi toàn bộ repo lên cloud
"A report found that Grok Build, xAI's CLI, was uploading entire user repositories and Git histories to cloud storage without redaction, including sensitive data and previously deleted secrets. After a server-side configuration change disabled codebase uploads, the transfers stopped; xAI and Elon Musk said previously uploaded data would be deleted, though the researcher said the privacy command was not what fixed the issue."
Rủi ro rò rỉ codebase và secrets do upload toàn bộ repo/lịch sử Git; điểm then chốt gồm truyền nội dung không redaction, đóng gói Git bundle, và việc chỉ dừng nhờ disable_codebase_upload.
Có thể gây gián đoạn niềm tin và yêu cầu rà soát tuân thủ dữ liệu, đặc biệt với khách doanh nghiệp; các điểm cần chú ý là cam kết xóa dữ liệu, thay đổi cấu hình server-side, và tranh luận về hiệu lực của /privacy.
Một báo cáo từ Cereblab cho biết Grok Build (CLI của xAI) có thể truyền nội dung tệp không ẩn danh tới Google Cloud Storage khi xử lý yêu cầu của người dùng. Theo điều tra, công cụ này không chỉ gửi các tệp cần thiết mà còn đóng gói toàn bộ repository thành Git bundle kèm lịch sử Git, làm lộ cả dữ liệu nhạy cảm và các bí mật đã bị xóa trước đó.
Cereblab mô tả việc thử nghiệm với prompt đơn giản (chỉ trả về “OK” và không mở tệp) nhưng Grok Build vẫn tải lên toàn bộ repo và lịch sử Git. Một số người dùng khác cũng phản ánh tình huống tương tự, bao gồm trường hợp thư mục người dùng chứa SSH keys và dữ liệu quản lý mật khẩu bị mở và gửi đi.
Sau khi phát hiện, nhóm phát triển đã bật cấu hình disable_codebase_upload = "true" ở phía máy chủ, khiến việc gửi repo toàn bộ dừng lại. Về phía xAI, lãnh đạo và Elon Musk cam kết sẽ xóa toàn bộ dữ liệu người dùng đã được tải lên trước thay đổi; tuy nhiên Cereblab nhấn mạnh rằng lệnh /privacy theo công bố không phải là cơ chế trực tiếp chặn upload, mà là một cờ toàn cục ở server.