Grok CLI 被曝静默上传整个代码库及 Claude Code 配置，导致 API 密钥泄露
http://x.com/i/article/2076503226166444032
AI 导读安全研究者发现，xAI 的 Grok CLI（npm 包 @xai-official/grok v0.2.93）会在用户不知情时，将整个项目代码库压缩为 tar.gz 并上传至 xAI 的 Google Cloud 存储。验证显示，即使模型仅回复一个单词且未调用文件工具，CLI 仍会上传代码快照、会话记录及配置。更严重的是，上传包还跨项目扫描了 Claude Code 的配置文件（~/.claude.json、settings.local.json），导致 API 密钥泄露。xAI 在曝光后通过服务端远程开关静默关闭了上传功能，但代码管线仍保留。作者建议立即卸载 Grok CLI。
另有 3 家信源报道
- Grok Build AI 编程工具被曝上传用户完整代码库至谷歌云The Verge：AI · 7 月 15 日
- 马斯克承认 Grok Build 上传用户代码，SpaceXAI 承诺彻底删除数据IT之家·人工智能 · 7 月 14 日
- xAI 官方 Grok CLI 被曝静默上传整个代码库及用户密钥公众号：数字生命卡兹克 · 7 月 13 日
来源：卡兹克 · x.com