SpaceXAI の Grok プログラミングツールがユーザーのコードベース全体をクラウドにアップロードしていた問題

SpaceX AI のコード生成ツール「Grok Build」が、問題が発覚する前にユーザーの全コードベースを Google Cloud にアップロードしていたことが発覚し、同社は即座に機能を停止しました。The Register は、Cereblab が月曜日に発表した調査結果を報じています。それによると、Grok Build の CLI ツールは、指示されたファイルを開かないように設定されていた場合でも、履歴から削除された機密情報を含むコードリポジトリ全体をパッケージ化してアップロードしていたことが明らかになりました。これは Claude Code などの類似ツールと比較しても、圧倒的に多くのデータを保持している状態です。

研究者たちは月曜日の時点でのテスト結果として、SpaceX AI のサーバーが「disable_codebase_upload: true」というフラグを返しており、コードベースのアップロード機能はもはや作動していないと報告しています。

イーロン・マスクはこの事案について X（旧 Twitter）で投稿し、Grok Build が以前にアップロードしたすべてのデータは「完全に消去される」と主張しました。また別の投稿では、「プライバシー設定は常に尊重されている」と述べつつ、デバッグ作業の効率化のために SpaceX AI 側にデータを保持することを許可するようユーザーに呼びかけました。

キングス・カレッジ・ロンドンの独立セキュリティ研究者、ルカシュ・オレニク博士は『ザ・バージ』に対し、このデータ保持量は「過剰すぎる」と指摘。さらに、リスクにさらされる可能性があるデータには、「独自ソースコードやセキュリティ脆弱性に関する情報、個人情報、インフラの詳細、認証情報などが含まれる可能性もある」と付け加えた。

SpaceXAI は当初、この問題に対して 投稿 で「ゼロデータ保持を無効化した場合、CLI 内で /privacy コマンドが利用可能となり、これによりデータ保持を無効化できるほか、以前に同期されたデータも削除される」と回答していた。しかし、Cereblab は「/privacy はセッションごとの保持設定の切り替えスイッチであり、今回の問題を解決する根本的なスイッチではないため、これをコントロールとして提示するのは適切ではない」と指摘している。

11 件のコメント

この記事のトピックや著者をフォローして、パーソナライズされたホームフィードで類似記事を見たり、メール更新を受け取ったりできます。

• スティービー・ボニフィールド