Компания xAI, основанная Илоном Маском, пообещала удалить данные пользователей, которые инструмент Grok CLI ранее автоматически загружал в облачное хранилище Google Cloud. Инцидент обнаружили разработчики, заметившие передачу полных репозиториев с конфиденциальной информацией.
Инструмент Grok CLI, предназначенный для интеграции моделей xAI в рабочие процессы разработчиков, оказался источником утечки данных. Как выяснили пользователи платформы X (Twitter), при запуске команды `grok build` система отправляла не только отдельные файлы, но и целые Git-репозитории в облачный бакет Google Cloud. В числе загруженных данных могли оказаться API-ключи, токены доступа и другие секреты, хранящиеся в репозиториях.
Об инциденте первым сообщил разработчик под ником @rez0__ (Резван Флореа), опубликовавший скриншоты логов, где видно, как Grok CLI передавал содержимое директории `.git` вместе с исходным кодом. Позже его наблюдения подтвердили другие пользователи, в том числе специалист по безопасности Патрик Уордл (Patrick Wardle), отметивший, что подобная практика противоречит принципам безопасности DevOps.
Илон Маск отреагировал на публикации в тот же день, заявив, что все ранее загруженные данные будут удалены. «Мы уже начали процесс очистки хранилища. Приносим извинения за этот инцидент и устраним проблему в ближайшем обновлении», — написал он в ответ на один из постов. В xAI пока не уточнили, сколько пользователей могли пострадать и как именно данные попадали в облако — преднамеренно или в результате ошибки конфигурации.
Инцидент вызвал критику в адрес xAI, особенно на фоне недавних заявлений компании о приоритете безопасности и конфиденциальности. Разработчики отмечают, что автоматическая загрузка репозиториев без явного согласия пользователя нарушает базовые принципы работы с исходным кодом. В блоге xAI опубликовано краткое разъяснение, где компания признаёт проблему и обещает внедрить дополнительные проверки перед отправкой данных.
Источники: X-пост Резвана Флореа (@rez0__), 13 июля; X-пост Патрика Уордла (@patrickwardle), 13 июля; блог xAI.