xAI's Grok Build CLI lädt stillschweigend gesamte Codebasen hoch – inklusive Geheimnissen, wie ein Forscher zeigt

Ein unabhängiger Sicherheitsforscher hat reproduzierbare, paketebene Beweise veröffentlicht, dass xAIs Grok Build Kommandozeilen-Coding-Tool im Hintergrund das gesamte Codebase eines Entwicklers an einen Google Cloud Storage Bucket hochlädt – getrennt von dem, was das KI-Modell tatsächlich liest oder bearbeiten sollte. Der Fund hat auf Hacker News für erhebliches Aufsehen gesorgt; zwei zugehörige Threads sammelten innerhalb weniger Stunden nach Veröffentlichung mehr als 400 bzw. 250 Punkte.

Was der Traffic-Mitschnitt zeigte

Mithilfe eines Proxys, der den Netzwerkverkehr abfing und analysierte, dokumentierte der Forscher, dass Grok Build ein vollständiges Git-Bundle des Arbeitsverzeichnisses an einen Storage-Endpoint unter POST /v1/storage sendet, der in einem Bucket namens grok-code-session-traces landet. Bei einem Test-Repository von etwa 12 Gigabyte übertrug das Tool 5,10 Gigabyte in 73 Chunks, wobei alle 83 Storage-Anfragen mit einem erfolgreichen HTTP 200 Status zurückkamen.

Entscheidend ist, dass der Forscher nachwies, dass der Upload nicht auf Dateien beschränkt ist, die der KI-Agent während einer Sitzung tatsächlich berührt hat. Eine Datei, die der Agent nie geöffnet oder referenziert hatte, wurde intakt aus dem aufgezeichneten Upload-Bundle wiederhergestellt – ein Beweis, dass das Tool den gesamten Workspace-Zustand sendet, nicht nur die für die Aufgabe relevanten Dateien. Im Reproduktionsfall war eine unredigierte .env-Datei mit Zugangsdaten im hochgeladenen Bundle enthalten.

Der Opt-out betrifft dies nicht

Grok Build enthält einen “Improve the model” Schalter, den Entwickler deaktivieren können, aber die Analyse des Forschers ergab, dass diese Einstellung nur regelt, ob hochgeladene Daten für das Modelltraining verwendet werden – sie verhindert nicht den eigentlichen Upload des Codebases. Weder die Existenz des grok-code-session-traces-Buckets noch diese Unterscheidung zwischen “wird nicht zum Training verwendet” und “wird nicht hochgeladen” sind laut der Forschung irgendwo in Grok Builds Setup- oder Onboarding-Materialien dokumentiert.

Warum dies für Entwickler wichtig ist

KI-Coding-Agenten arbeiten routinemäßig in Repositories, die API-Schlüssel, Datenbank-Zugangsdaten und proprietären Quellcode enthalten, unter der Annahme, dass nur Dateien, die der Agent explizit liest oder referenziert, an die Server des Anbieters übermittelt werden. Dieser Befund bricht diese Annahme für Grok Build: Ein Entwickler, der das Tool in einem privaten Codebase ausführt, hat laut Reproduktionsschritten dieses gesamte Codebase – einschließlich Geheimnissen, die die KI nie berührt hat – unabhängig von den Trainingsdaten-Präferenzen an xAIs Infrastruktur übertragen.

Sicherheitsforscher empfehlen, dass jeder Entwickler, der Grok Build in einem Repository mit Zugangsdaten ausgeführt hat, diese als potenziell offengelegt betrachten und aus Vorsicht rotieren sollte. xAI hat zum Zeitpunkt dieser Meldung noch keine öffentliche Stellungnahme zu den spezifischen Ergebnissen abgegeben.