你正在用的AI编码工具，可能在你不知情的情况下，把你的整个代码库——包括那些明确标记为“禁止访问”的文件、甚至已经从历史记录里删掉的敏感信息——全都打包送到了云端。这不是科幻情节，而是SpaceXAI旗下工具Grok Build最近被曝出的真实状况。

Grok Build 被曝“全量打包上传”

根据Cereblab在周一公布的调查结果，Grok Build的CLI客户端会默认执行一次“全量打包上传”操作。整个代码库被一股脑儿丢进谷歌云。而且，数据保留的范围远远超出了Claude Code这类同类AI编程工具的惯常做法。

问题有多严重？系统性的数据过度收集

Cereblab的研究人员测试发现，Grok Build不仅上传了当前正在编辑的文件，还上传了：

• 被明确标记为“不可访问”的历史文件
• 已经从版本历史中删除的敏感凭证信息

这已经不是简单的隐私疏忽，而是系统性的数据过度收集。

暂时关闭，但隐患仍在

好消息是，截至周一，当研究人员再次测试时，SpaceXAI的服务器已经返回了一个“disable_codebase_upload: true”的标记。这意味着代码库上传这个行为已经不再被触发——至少暂时被关掉了。

马斯克回应：数据将被“彻底删除”

面对舆论压力，埃隆·马斯克在X平台上亲自回应。他声称此前上传的数据将被“彻底且完全删除”，并强调SpaceXAI“始终尊重隐私设置”。不过，他的表态里还夹了一句话：希望用户允许平台保留这些数据，以便定位和调试问题。这句“希望”在批评者眼中，多少有点避重就轻的味道。

安全研究员：大规模数据保留是“金矿”

伦敦国王学院的独立安全研究员Lukasz Olejnik点出了一个更现实的风险。如此大规模的数据保留，涉及的东西远不止几行代码。攻击者梦寐以求的“金矿”包括：

• 专有源代码
• 安全漏洞信息
• 个人数据
• 基础设施细节
• 访问凭证

一旦这些数据泄露，后果很难估量。

解决方案形同虚设，行业警示再响

SpaceXAI此前给出的应对方案是：通过在CLI中执行“/privacy”命令来关闭数据保留并删除已同步的数据。但Cereblab在调查后指出，这条命令只针对单次会话生效。换句话说，相当于每次打开一个新会话，你都得手动敲一遍。这显然不能被视为一个真正的修复方案，更像是临时打补丁。

此次事件再次给AI编程工具行业敲了一记警钟：代码隐私、数据治理和用户信任这些“软实力”，在技术狂奔的时代，恰恰是最容易被忽视、也最致命的短板。

《夸克》非常好用的免费AI浏览器

下载APP查看