SpaceXAI Grok Build、ユーザーのコード全体をクラウドにアップロード

Cereblab の研究グループが実施したテストで SpaceXAI の Grok Build が予想以上に積極的なデータ収集を行っていることが判明し、同ツールは注視の対象となった。このツールは単なるセッション限定データやマスク化されたテレメトリの同期ではなく、開発者が作業するソースファイル全体（コードベース）をキャプチャし、Google Cloud ストレージに送信していた。特に注目すべきは、開発者が明示的にアクセスしないよう指示したファイルはもちろん、バージョン履歴から削除されたシークレットに対してもこの動作が続いていたことだ。これはツールがファイルシステムの低レベルでデータをキャプチャしており、ユーザーの意図や認証情報の扱いに関するベストプラクティスを尊重していないことを示唆している。

この事件は SpaceXAI の公表されたプライバシー姿勢と実際の動作の間のギャップを浮き彫りにしている。初期対応で同社は /privacy コマンドをデータ保持の無効化メカニズムとして指摘した。しかし Cereblab の分析では、/privacy はセッション単位の保持のみを切り替えるもので、デフォルトで有効化されていたコードベースアップロード機能を制御していないことが判明した。この矛盾は設計の欠陥か、ユーザーが実際にデータを制御できる場所についての誤解を招く情報提供のいずれかを示唆している。独立セキュリティ研究者としての Dr. Lukasz Olejnik の「過度」という評価は重みを持つものであり、専有ソースコードからインフラ詳細まで及ぶ彼の潜在的露出の一覧は、この動作がもたらすビジネスと運用上のリスクを強調している。