xAI 的 Grok Build 編程工具被爆未經告知上傳完整程式碼庫至雲端

Grok Build 爆發資料隱私風險

xAI 旗下的 AI 編程助理工具 Grok Build 近日被資安研究機構揭露存在嚴重的資料隱私漏洞。根據專業資安廠商 Cereblab 於 7 月 15 日發佈的研究報告，該命令列工具（CLI）在未取得明確用戶同意的情況下，將開發者的完整程式碼庫打包並上傳至 Google Cloud 儲存服務。

上傳範圍超乎預期

根據《The Register》報導，Grok Build 的資料蒐集範圍遠超開發者的預期。除了活動程式碼檔案外，上傳內容更包含：

• 被開發者明確指定不予上傳的檔案
• 已從版本控制系統歷史記錄中刪除的機密資訊，包括 API 金鑰、資料庫密碼、認證令牌等敏感數據

Cereblab 的分析指出，Grok Build 在資料蒐集的主動性與廣泛性上，明顯超越 Anthropic 的 Claude Code 等同類 AI 編程工具。這意味著開發者在不知情的狀況下，可能已將包含生產環境憑證的程式碼上傳至第三方雲端。

xAI 迅速回應關閉功能

Cereblab 研究團隊於本週一進行驗證時發現，xAI 的伺服器已開始回傳 disable_codebase_upload: true 旗標。這表明 Grok Build 的程式碼庫上傳功能已被停用，不再自動觸發。雖然 xAI 創辦人 Elon Musk 曾對此事件作出回應，但公司尚未發表正式完整聲明，說明該功能的原始設計目的、資料流向及後續處理措施。

開發社群關注隱私保護機制

此事件凸顯了 AI 編程工具領域的一大隱患：開發者往往難以掌握這類工具在背後實際蒐集、傳輸與儲存的資料範疇。當工具需要存取含有敏感資訊的程式碼時，隱私洩露的潛在風險尤為嚴重。

Grok Build 事件發生前，業界已有多起 AI 工具因資料洩露而遭控的案例。此次爆料提醒開發者，使用 AI 編程輔助工具時必須謹慎評估其隱私政策，特別是涉及企業級程式碼庫的場景。xAI 後續如何強化透明度與用戶控制能力，將成為該工具能否重新贏得開發者信任的關鍵。