Grok Build CLI surpris en train de téléverser l'intégralité des dépôts utilisateurs vers le cloud

Grok Build CLI surpris en train de téléverser l'intégralité des dépôts utilisateurs vers le cloud

Des chercheurs indépendants ont soumis le système à un intercepteur proxy et ont constaté que le client empaquette l'intégralité du dépôt Git suivi, ainsi que l'ensemble de l'historique des commits, avant de le téléverser vers un bucket Google Cloud Storage nommé grok-code-session-traces.

Ce comportement se produit indépendamment des fichiers réellement ouverts par l'agent lors de son fonctionnement. Par exemple, sur l'un des dépôts de test d'une taille de 12 Go, le canal de requêtes du modèle a transmis environ 192 Ko de trafic (directement lié à la tâche), tandis que le canal de téléversement vers le stockage a transféré approximativement 5,1 Go. Les fichiers que l'agent est explicitement interdit d'ouvrir finissent également dans le cloud.

La réponse de SpaceXAI n'est arrivée que quelques jours plus tard. L'entreprise a déclaré être « profondément préoccupée par la vie privée des utilisateurs » et a affirmé que le code et les journaux d'exécution ne sont jamais conservés pour les comptes ayant activé la Rétention Zéro de Données (Zero Data Retention), tout en encourageant les autres utilisateurs à utiliser la commande /privacy.

Elon Musk a séparément indiqué que SpaceXAI supprimerait complètement toutes les données précédemment téléversées par précaution. Cependant, xAI n'a toujours pas expliqué pourquoi le téléversement de l'intégralité du dépôt constitue le paramètre par défaut.