SpaceXAI Grok Build、ユーザーのコード全体をクラウドにアップロード

要点

• SpaceXAI の Grok Build コーディングツールが、ユーザーのコードリポジトリ全体を Google Cloud ストレージに自動アップロードしていた。対象には開かないよう指示されたファイルや削除されたシークレットも含まれていた。

• 月曜日にセキュリティ研究者が問題を公開した後、同社は機能を無効化した。セキュリティ専門家はデータ保持が過度であり、ソースコード、セキュリティ脆弱性、認証情報など機密情報が露出した可能性があると確認。

• Elon Musk は以前アップロードされたデータの削除を約束したが、同社の初期対応はユーザーが利用可能なプライバシーコントロールの説明が不正確だった。

3つのポイント

背景と解説

よくある質問

Grok Build は どのくらいのデータをアップロードしていたのか？

Grok Build はコードリポジトリ全体をパッケージ化してアップロードしていた。これにはアクセスしないよう指示されたファイルや、履歴から削除されたシークレットも含まれていた。このデータ保持量は Claude Code のような類似ツールと比較して圧倒的に多かった。

この問題はいつ発見され、修正されたのか？

Cereblab が月曜日にアップロード動作に関する調査結果を公開した。月曜日の時点で、SpaceXAI のサーバーは「disable_codebase_upload: true」フラグを返すようになり、コードベースアップロードは「機能しなくなった」。

どのような機密情報がリスクにさらされた可能性があるのか？

ロンドン大学キングスカレッジの独立セキュリティ研究者 Dr. Lukasz Olejnik によると、リスクの対象となる可能性のある情報には、専有ソースコード、セキュリティ脆弱性に関する情報、個人データ、インフラ詳細、認証情報が含まれる。