专题 · FULL STORY

Grok 静默传仓风波发酵

从抓包曝光会打包上传整仓库与密钥，到开发者质疑连 Git 历史和 .env 也被送云端，Grok Build/CLI 的隐私争议迅速发酵，并演变为信任危机。

2026-07-11 ~ 2026-07-15 · 3 集 · 54 条

第 1 集 · xAI Grok Build CLI 被曝静默上传整仓库及密钥(2026-07-11,5 条)

07 月 11 日起，Reddit 用户 @TastyLeadership2757 等多名开发者先后通过 mitmproxy 抓包，指控 xAI 的 Grok Build CLI（亦称 GrokCLI）会在代码助手运行期间静默把整个代码仓库上传到 xAI 的云端，其中包含完整的 Git 历史与本地敏感文件，引发对 AI 编程工具隐私与安全的广泛关注。

关键细节

据多份抓包与逆向复盘，该工具并非只上传 agent 实际读取过的文件，而是把整个仓库打包成 git bundle（含完整 Git 历史）上传至 xAI 的 Google Cloud Storage。它还会把 agent 读到的文件内容一并发出，包括 .env 等密钥，甚至可能波及仓库外的本地配置与 API 密钥。这一回传行为与“是否读取”无关，意味着即便密钥从未被工具显式调用，也可能被上传。

各方反应与排查

事件经 @scaling01、@数字生命卡兹克 等转发与深挖后进一步扩散。@数字生命卡兹克 给出了相对完整的复现与排查路径，包括逆向官方 npm 包等步骤，使社区能够自行验证。@codestar、@Tiancaixinxin 等则以转发形式提醒：把环境变量、密钥文件交给 AI 工具时，存在被回传、日志化或外泄的风险。

第 2 集 · Grok Build 被曝默认上传整个代码库引争议(2026-07-13,47 条)

7 月中旬,xAI 的 Grok Build/CLI 被多位开发者质疑在本地使用时会默认把整个代码库上传到云端(Google Cloud / xAI 存储),范围远超完成任务所需,甚至波及 Git 历史、密钥以及家目录中的敏感文件。争议因此从「数据是否用于训练」升级为「是否在未充分告知下外传了不该上传的内容」,引发对隐私与供应链安全的担忧。xAI 与 Elon Musk 随后强调零数据留存(ZDR)与可追溯删除机制,并承诺彻底删除此前上传的历史数据。

争议焦点与实测细节

op7418 最早(7 月 13 日)提醒,Grok 的 build CLI 打包时会把整个代码库连同密钥一起传到远端。由 jedisct1、banteg、rickasaurus 等转述的逆向/线级分析给出具体数字:在一个 12GB 的测试仓库里,工具外传了 5.1GB 数据,而实际编码任务只需其中一小部分,上传目标指向 Google Cloud bucket,内容包含私有仓库与未脱敏密钥;banteg 称逆向官方二进制后发现,即便没有任何工具调用,完整代码库仍被上传。ctjlewis 的测试更具破坏性:默认即会上传整个代码库(需显式设置 disablecodebaseupload = true 才能关闭),而即便选择 opt-out 也未能阻止上传,他形容这等同于「偷走 .git 目录」;他还指出若在 home 目录直接启动,Grok Build 可能把整个家目录一并上传,连 ssh key、claude 配置、文档与媒体都可能带出。Scobleizer、Gergely Orosz 等转述者把问题概括为会主动上传整仓库、.git 历史,以及 .env.local、.dev.vars 一类敏感文件。

xAI 的回应

SpaceXAI 7 月 13 日表示,启用 ZDR 的企业团队中 Grok Build 不会保留代码痕迹,API key 使用同样遵守 ZDR;未启用 ZDR 的用户可在 CLI 运行 /privacy 退出数据留存,该设置可追溯删除此前已同步的数据。Elon Musk 14 日补充:CLI 在 ZDR 模式下自发布以来一直不保留数据;但若使用远程会话列表、cloud agents 或 handoff/share 等功能,相关数据仍可能被存储。他随后宣布,作为预防措施,此前上传的所有用户数据将被彻底删除。tetsuoai 则为 Grok 辩护,称其与 Grok 网站都提供随时 opt-out 的选项,做法与主流 AI 公司类似。

仍待回答的问题

批评者认为核心疑问不止「能否事后删除」,而是默认上传是否经过清晰同意、上传范围为何会大到整仓库甚至无关文件。JFPuget 等转述帖质疑 xAI 始终未解释为何一开始会发生此类上传;也有转述称,相关行为在曝光后似乎通过一个隐藏的服务器端开关被关闭。

还有 27 条相关讨论 →

第 3 集 · Grok 被曝重大隐私问题引发信任危机(2026-07-15,2 条)

马斯克旗下 AI 工具 Grok 的 Build 功能近日引发严重争议。多位开发者指出该工具存在重大隐私问题，导致用户对其爆发信任危机。针对此次风波，跟进报道的作者还专门采访了最先推动该事件曝光的相关人士，进一步深挖了背后的隐私隐患与各方反应。