一句话看懂：安全研究者在逆向 xAI 官方 Grok（Grok 4.5版本配套的 CLI 工具，npm 包 @xai-official/grok 0.2.93）时发现，该工具会在用户不知情的情况下将整个项目目录压缩为 tar.gz 并上传至 xAI 的 Google Cloud 存储桶，甚至跨目录抓取了 Claude Code 的配置文件和 API 密钥。曝光后，xAI 通过服务器端远程开关迅速关闭了上传功能，但完整的上传管线代码依然保留。
事件核心：发生了什么
安全研究者 cereblab 在 7 月 10 日首次抓包确认了 Grok CLI 的异常上传行为。该工具在每轮任务开始前和结束后，会通过一条独立于模型请求的旁路通道，将当前工作目录打包（before_codebase.tar.gz 和 after_codebase.tar.gz）连同会话状态、配置和日志，一并上传至名为 gs://grok-code-session-traces 的 Google Cloud 仓库。更严重的是，工具在启动时主动扫描并兼容 Claude Code 的配置文件，导致 ~/.claude/settings.local.json 中的 API 密钥（如 MIAODA_API_KEY）也被跨目录打包上传。卡兹克在 7 月 13 日的复现中显示，即使模型只回复一个单词、不调用任何文件工具，只要上传开关开启，上述行为就会完整执行。最初该上传功能默认开启，曝光后 xAI 在服务端新增了 disable_codebase_upload 字段远程关闭，客户端二进制未更新但行为已改变。
为什么重要
这是迄今为止 AI Agent 工具在一次事件中暴露出的最严重的隐私安全问题。与之前 Anthropic 在 Claude Code 中使用不可见字符标识用户的做法相比，Grok CLI 的行为从“数据标记”升级到了“数据完整打包+远程上传+跨目录窃取密钥”的级别。它证明了当前 AI Agent 产品拥有等同于本地管理员账户的系统权限——能扫描整个文件系统、执行 Shell 命令、操控浏览器——却没有相应的安全审计标准和用户知情-同意机制。xAI 在被曝光后选择静默关闸而非公开说明，进一步表明该功能的设计本身就缺乏基本的隐私合规流程。这对整个 AI Agent 行业（包括 Codex、Claude Code 等同类产品）提出了一个迫切的信任危机：用户是否还能相信这些工具有尊重数据边界的道德基线。
对用户/开发者/创作者的影响
立即行动：如果你安装并使用了 Grok CLI（npm 包 @xai-official/grok），建议立刻卸载。即使 xAI 已远程关闭上传，但完整的上传管线代码仍保留在客户端中，存在服务端重新开启的可能性。开发者需警惕：在 AI Agent 工具尚未建立“读取-上传”透明机制前，避免在开发环境中运行任何 Agent 工具，尤其是那些与本地文件系统深度交互的产品。建议使用隔离的沙箱或容器环境，并手动检查工具启动时扫描了哪些文件。对企业采购和合规团队：此次事件暴露了第三方 AI Agent 工具的零审计现状，应要求供应商提供完整的文件访问清单和数据传输链路说明，并评估是否需要将该类工具纳入内部数据安全合规管控范围。对于使用 Claude Code 的用户，尽管其未上传代码，但 Grok CLI 的跨目录扫描行为已经说明配置文件并非安全边界。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
1. xAI 是否会公开解释或出具安全公告：目前仅通过服务端远程关闸，没有正式声明。如果未来没有透明的回溯报告和永久修复方案，该产品在开发者社区中的信任度可能急剧下降。2. 监管机构是否会介入：考虑到此事涉及个人 API 密钥的泄露和跨文件目录的无授权上传，可能触发欧盟 GDPR 或中国《数据安全法》等法规的审查。3. 竞品生态的反应：Anthropic（Claude Code）、Codex 等 AI Agent 产品是否会借此机会推出“安全透明”方面的差异化功能（如文件访问日志、上传确认弹窗），从而推动行业标准的建立。
来源：公众号：数字生命卡兹克
