Grok Build CLI 0.2.93 conseguiu fazer upload de repositórios Git inteiros, incluindo segredos e histórico de commits

De acordo com investigadores de segurança monitorizados pela Beating, a Grok Build CLI na versão 0.2.93 faz upload de repositórios Git inteiros para a nuvem, incluindo todos os ficheiros rastreados pelo Git e o histórico completo de commits, independentemente de quais ficheiros o Agent tenha efetivamente acedido. Os investigadores confirmaram que, mesmo quando instruído a não ler quaisquer ficheiros, os ficheiros de engodo não acedidos foram recuperados dos pacotes de upload, com resultados replicados em vários repositórios. Num teste a um repositório de 12 GB, 5,5 GB de dados foram carregados com sucesso antes da terminação.

Se a Grok ler ficheiros .env, as chaves de API e as passwords de base de dados são incluídas tal como estão em pedidos ao modelo e em arquivos de sessão. O upload continua mesmo após desativar a definição “Improve the model”. A documentação oficial da xAI afirma apenas que são enviados para a inferência na nuvem os prompts e os conteúdos dos ficheiros, sem qualquer menção a uploads de repositórios completos.