Grok Build stava caricando silenziosamente l'intero codebase nel cloud. xAI lo ha ora disattivato.

Punti chiave

• Grok Build, lo strumento di codifica AI di xAI, stava caricando interi repository di codice su Google Cloud senza il chiaro consenso degli utenti, come scoperto dai ricercatori a maggio 2025.
• I caricamenti includevano file che gli utenti avevano indicato allo strumento di ignorare, oltre a segreti precedentemente eliminati dalla cronologia del progetto.
• A partire da lunedì, i server di xAI restituiscono un flag che disabilita i caricamenti del codebase, e i caricamenti si sono fermati.
• Elon Musk ha postato che tutti i dati precedentemente caricati saranno "completamente e totalmente eliminati".
• Un ricercatore di sicurezza indipendente ha descritto la conservazione dei dati come "eccessiva", notando che potrebbe esporre codice proprietario, password e vulnerabilità di sicurezza.

Grok Build è l'assistente di codifica da riga di comando di xAI, uno strumento per sviluppatori che installi sul tuo computer e usi per scrivere e modificare software con l'aiuto dell'AI. I ricercatori di un'azienda chiamata Cereblab hanno pubblicato i risultati questa settimana mostrando che lo strumento stava impacchettando interi cartelle di progetto e inviandole allo storage Google Cloud prima di ogni interazione con l'AI.

Questo da solo ha sollevato dubbi. Ciò che ha allarmato gli esperti di sicurezza era il dettaglio: i caricamenti includevano file che gli utenti avevano specificatamente indicato allo strumento di non aprire, e credenziali (password e chiavi di accesso) che gli sviluppatori avevano già eliminato dalla cronologia del loro progetto.

Strumenti simili, incluso Claude Code di Anthropic, non raccolgono quasi questi dati.

Come primo segnalato da The Verge AI, il ricercatore di sicurezza indipendente Dr. Lukasz Olejnik del King's College London ha confermato che il carico di dati era "eccessivo". Le informazioni potenzialmente raccolte potrebbero includere codice sorgente proprietario, dettagli sulle debolezze di sicurezza nei sistemi, dati personali, file di configurazione dell'infrastruttura e credenziali di accesso.

Per gli sviluppatori quotidiani, questi sono esattamente i file che non vorresti mai che una terza parte possedesse.

Gli sviluppatori dovrebbero preoccuparsi dei dati già caricati?

Sì, ma xAI dice che sta agendo rapidamente. Elon Musk ha postato su X che tutti i dati che Grok Build aveva precedentemente raccolto saranno "completamente e totalmente eliminati". I caricamenti stessi si sono già fermati: Cereblab ha confermato che i server di xAI ora inviano un segnale che dice allo strumento di non caricare i codebase, e i loro test mostrano che il trasferimento non accade più.

La risposta pubblica iniziale di xAI ha indirizzato gli utenti verso un comando chiamato /privacy all'interno dello strumento, suggerendo che avrebbe fermato la conservazione dei dati. Cereblab ha contestato quella spiegazione. Il comando /privacy attiva solo la conservazione dei dati per una singola sessione. Non era la correzione che ha effettivamente fermato i caricamenti bulk.

Musk ha anche postato che "le impostazioni sulla privacy vengono sempre rispettate", mentre separatamente ha chiesto agli utenti di lasciare a xAI i loro dati per aiutare con il debugging. Quella combinazione ha colpito alcuni osservatori come contraddittoria.

Se hai utilizzato Grok Build su qualsiasi progetto contenente password, chiavi API (codici che danno accesso ai servizi) o logica di business sensibile, tratta quelle credenziali come potenzialmente compromesse. Ruota eventuali segreti che erano in quei repository. Ci vogliono pochi minuti e rimuove completamente il rischio.