Grok Build выгружал весь код пользователей в облако без их ведома
Инструмент для AI-программирования Grok Build от xAI тайно отправлял в Google Cloud полные репозитории кода пользователей, включая файлы из .gitignore и удалённые из истории секреты. После публикации исследования Cereblab компания быстро отключила эту функцию.
Разработчики доверяют AI-инструментам доступ к коммерческому коду и секретам. Этот случай показывает, что даже крупные компании могут собирать данные далеко за пределами разумного, создавая риски утечек и промышленного шпионажа.
Скандал с утечкой кода в Grok Build
Что произошло
Исследователи из Cereblab обнаружили, что инструмент для AI-разработки Grok Build CLI от компании xAI Илона Маска загружал в Google Cloud целые кодовые базы пользователей. Причём речь идёт не просто о фрагментах кода для анализа, а о полных репозиториях.
Масштаб проблемы
Особую тревогу вызывает то, что инструмент захватывал: - Файлы, явно исключённые из обработки (через .gitignore) - Секретные данные, удалённые из истории Git - Значительно больше информации, чем аналоги вроде Claude Code
Реакция компании
После публикации результатов исследования в понедельник xAI оперативно отключила функцию загрузки кодовых баз. Исследователи подтвердили, что серверы компании начали возвращать флаг disable_codebase_upload: true, и загрузка действительно прекратилась.
Контекст
Илон Маск отреагировал на ситуацию (детали реакции в оригинальной статье The Verge отсутствуют в предоставленном фрагменте).
Этот инцидент поднимает серьёзные вопросы о прозрачности AI-инструментов для разработчиков и необходимости чёткого информирования пользователей о том, какие данные собираются и как они используются.
Ключевые выводы
- Grok Build загружал полные репозитории кода пользователей в облако, а не только необходимые фрагменты
- Инструмент игнорировал настройки приватности (.gitignore) и захватывал даже удалённые из истории секреты
- xAI отключила функцию в течение суток после публичного разоблачения исследователями
- Объём собираемых данных значительно превышал практику конкурентов вроде Claude Code
- Инцидент демонстрирует критическую важность аудита AI-инструментов перед использованием в продакшене
Автор: Stevie Bonifield · Источник: The Verge AI
Это классический случай «двигались быстро и ломали вещи», только ломали чужую безопасность. xAI запустила инструмент, который по умолчанию выгружал целые репозитории в облако — причём не просто код, а буквально всё, включая файлы из .gitignore и даже секреты, которые разработчики уже удалили из истории Git. Это не просчёт, это архитектурное решение, которое кто-то сознательно принял и имплементировал.
Показательна скорость реакции: отключили за сутки после публикации. Значит, техническая возможность была, просто не считали нужным до скандала. Для сравнения: Claude Code собирает гораздо меньше данных и делает это прозрачно. Вопрос теперь не только в том, зачем xAI понадобились полные репозитории, но и что случилось с уже собранными данными. Ответа пока нет.
Справедливости ради: мы не знаем, была ли эта функция описана в пользовательском соглашении или документации, которую никто не читает. Возможно, xAI собирала эти данные для обучения модели с явного согласия пользователей — просто никто не удосужился прочитать. Многие AI-инструменты требуют доступа к контексту для качественной работы, и граница между «необходимым контекстом» и «избыточным сбором» размыта. Быстрое отключение можно трактовать не как признание вины, а как заботу о репутации в условиях PR-кризиса.
Комментарии