CLI do Grok Build 0.2.93 encontra upload de repositórios Git inteiros, incluindo segredos e histórico de commits

De acordo com pesquisadores de segurança monitorados pela Beating, a versão 0.2.93 da Grok Build CLI faz upload de repositórios Git inteiros para a nuvem, incluindo todos os arquivos rastreados pelo Git e o histórico completo de commits, independentemente de quais arquivos o Agent realmente acessou. Os pesquisadores confirmaram que, mesmo quando instruído a não ler nenhum arquivo, arquivos decoy não acessados foram recuperados dos pacotes enviados, com resultados reproduzidos em múltiplos repositórios. Em testes com um repositório de 12GB, 5,5GB de dados foram enviados com sucesso antes da interrupção.

Se o Grok lê arquivos .env, as chaves de API e as senhas de banco de dados são incluídas como estão em requisições do modelo e em arquivos de sessão. O upload continua mesmo após desativar a opção “Improve the model”. A documentação oficial da xAI afirma que apenas prompts e conteúdos de arquivos são enviados para inferência na nuvem, sem menção de uploads de repositórios completos.