Grok Build被曝上传整个代码库至谷歌云，SpaceXAI紧急关闭相关功能

如果告诉你，你正在用的AI编码工具，在你不知情的情况下，把你的整个代码库——包括那些你明确标记为“禁止访问”的文件、甚至已经从历史记录里删掉的敏感信息——全都打包送到了云端，你会怎么想？这不是什么科幻情节，而是SpaceXAI旗下工具Grok Build最近被曝出的真实状况。根据Cereblab在周一公布的调查结果，Grok Build的CLI客户端会默认执行一次“全量打包上传”操作，整个代码库被一股脑儿丢进谷歌云，而且数据保留的范围远远超出了Claude Code这类同类AI编程工具的惯常做法。

这事儿到底有多严重？Cereblab的研究人员测试发现，Grok Build不仅上传了当前正在编辑的文件，连那些被明确标记为“不可访问”的历史文件、以及已经从版本历史中删除的敏感凭证信息，也一并被纳入上传清单。这已经不是简单的隐私疏忽，而是系统性的数据过度收集。

好消息是，截至周一，当研究人员再次测试时，SpaceXAI的服务器已经返回了一个“disable_codebase_upload: true”的标记，意味着代码库上传这个行为已经不再被触发——至少暂时被关掉了。

面对舆论压力，埃隆·马斯克在X平台上亲自回应，声称此前上传的数据将被“彻底且完全删除”，并强调SpaceXAI“始终尊重隐私设置”。不过，他的表态里还夹了一句话：希望用户允许平台保留这些数据，以便定位和调试问题。这句“希望”在批评者眼中，多少有点避重就轻的味道。

伦敦国王学院的独立安全研究员Lukasz Olejnik点出了一个更现实的风险：如此大规模的数据保留，涉及的东西可远不止几行代码——专有源代码、安全漏洞信息、个人数据、基础设施细节、以及访问凭证，这些都是攻击者梦寐以求的“金矿”。一旦这些数据泄露，后果很难估量。

SpaceXAI此前给出的应对方案是：通过在CLI中执行“/privacy”命令来关闭数据保留并删除已同步的数据。但Cereblab在调查后指出，这条命令只针对单次会话生效，换句话说，相当于每次打开一个新会话，你都得手动敲一遍。这显然不能被视为一个真正的修复方案，更像是临时打补丁。此次事件再次给AI编程工具行业敲了一记警钟：代码隐私、数据治理和用户信任这些“软实力”，在技术狂奔的时代，恰恰是最容易被忽视、也最致命的短板。