Kanar im Repository: Grok Build exponierte komplette und geheime Repos in der Cloud

Ein Forscher, der als Cereblab gefunden, dass das xAI Gook Build-Tool komplette Git-Repositories - einschließlich der gesamten Geschichte der Verpflichtungen - auf ein xAI-managed Google Cloud Storage-Paket hochgeladen hat, und nicht nur die Dateien, die die Kodierungsaufgabe benötigt. In einem Test mit der Version 0.2.93 wurde eine Erfassung eines dieser Ups erstellt: Obwohl der Verkehr zum Modell (die Anfrage a / v1 / Antworten) nur Hunderte von Kilobytes enthielt, sandte der Speicherkanal (/ v1 / Speicher) mehrere Gigabyte, die direkt die Größe des Repository auf der Festplatte widerspiegeln und die Geschichte der Commits in einem Bündel replizieren, das verstopft werden konnte.

Die technischen Details sind relevant, da sie die Belichtung definieren: Im Experiment mit einem 12 GB-Repository lag die Kommunikation mit dem Modell bei ca. 192 KB, während der Anstieg des Speichers um ~ 5,10 GiB in Blöcken von ~ 75 MB, die HTTP 200 zurückgegeben. Insbesondere die Metadaten als Ziel ein Bucket genannt grok-code-session@-@ traces und die Erfassung erlaubte, eine von der Ermittlerin absichtlich gepflanzte Datei zu extrahieren - ein "Kanar", dass der Agent nicht öffnen sollte - zusammen mit der gesamten Git-Geschichte. Getrennt, als Grok eine .env-Datei öffnete, ging ihr Inhalt in der Interaktion mit dem Modell unbearbeitet und wurde auch in der Sitzung archiviert.

Es ist wichtig zu betonen, was diese Fänge beweisen und was sie nicht beweisen: Prüfübertragung, Abnahme und Lagerung der Daten außerhalb der Client-Maschine; nicht beweisen, dass xAI trainierte Modelle mit diesem Material oder dass menschliche Mitarbeiter es gelesen haben. Die Tatsache, dass die vom Agenten gelesenen Anmeldeinformationen oder Geheimnisse ohne Schreiben auslaufen könnten, ist an sich ein ernstes operatives Risiko für Entwickler und Organisationen.

Der Vorfall zeigte auch eine Verwirrung der Kontrollen: die sogenannte Option "Das Modell verbessern"(oder ähnliche Optionen) kontrolliert, ob Ihre Daten zum Training verwendet werden können, aber nicht unbedingt, wenn Ihre Dateien die Ausrüstung für die lieferantengesteuerte Speicherung verlassen. In den Cereblab-Beobachtungen wurde die Anpassung "Modellverbesserung" deaktiviert, aber der Server kehrte weiter zurück Track _ Upload _ aktiviert: wahr, die erklären würde, dass der Versand und die Lagerung trotz der Trainings-Entscheidung aufgetreten.

Nach der Veröffentlichung änderte xAI die Verzögerungen des Servers und wiederholte Beweise zeigten, dass die Ups gestoppt wurden und der Server zurückkam disable _ codebase _ Upload: true und Track _ Upload _ aktiviert: falsch. Diese Deaktivierung kam von der Serverseite, nicht als Patch in der Client-Version, so dass technisch xAI konnte den Anstieg ohne Benutzer aktualisieren ihre Binaries wieder aktivieren. Das Unternehmen hat öffentlich auf seinem X / SpaceXAI-Kanal mit Erläuterungen zu Unternehmensausrüstung mit "Nulldatenspeicherung" Richtlinien und Datenschutzbefehlen im CLI reagiert, aber immer noch nicht klare öffentliche Informationen darüber, wie lange die Daten gespeichert wurden oder wie viele Nutzer das Verhalten beeinflussten.

Angesichts dieser Art der Exposition ist die unmittelbare praktische Empfehlung klar: Handlungen, wie deine Geheimnisse herausgekommen sind.. Es dreht jeden Anmeldeschluss, dass der Agent in der Geschichte der Verpflichtungen gelesen oder gefunden haben kann - selbst wenn der Schlüssel aus dem Arbeitsbaum gelöscht wurde, wenn er jemals in einem Bekenntnis war Teil des Bündels und möglicherweise erhöht worden. Es ist nicht genug, um lokal zu löschen: Sie müssen die Anmeldeinformationen invalidieren, neue Schlüssel mit eingeschränktem Umfang ausgeben und externe Protokolle überprüfen.

Darüber hinaus überprüfen und reinigen Sie die Git-Geschichte, um persistente Geheimnisse zu entfernen und zu verhindern, dass sie weiterhin Klonen oder Backups ausgesetzt werden. Werkzeuge wie BFG Repo-Cleaner oder GitHubs offizielle Verfahren, um sensible Daten zu entfernen helfen, Geschichte und Rache-Repository-Geheimnisse neu zu schreiben, aber erfordern Sorgfalt, weil das Rewriting-Geschichte wird Mitarbeiter und Gabeln beeinflussen; GitHubs offizielle Dokumentation zum Thema ist ein guter Ausgangspunkt: https: / / docs.github.com / en / Authentisierung / Konten- und Datensicherheit / Entfernungs-sensitive-data-from-a-repository. Für die Massenreinigung großer Repositorien gibt es BFG: https: / / rtyley.github. io / bfg-Repo-Reiniger /.

Vertrauen Sie nicht nur, um sich zu ärgern oder "nicht für die Ausbildung verwenden" verspricht: Ich habe gehört, welche Daten tatsächlich herauskommen. Wenn Sie Cloud-Coding-Agenten verwenden, überwachen ausgehende Verkehrs- und Überprüfungsanfragen, die Pakete oder Dateisitzungen erstellen; in kontrollierten Umgebungen betrachten Proxies, um unerwünschte Ups zu überprüfen oder zu blockieren. Überprüfen Sie die Aufbewahrungsrichtlinie des Lieferanten und aktivieren Sie, soweit vorhanden, die Speicherungsmodi von null Daten oder Geschäftsvereinbarungen, die Sorge und Löschung garantieren. Sehen Sie die Dokumentation des Speicheranbieters, wenn Sie die Speicherung und Entsorgung in Google Cloud Storage verstehen müssen: https: / / Cloud / google.com / Storage / docs.

Schließlich ändert sich die Mentalität: Heute sind die Cloud-Programmierassistenten nicht "lokal", auch wenn sie Schnittstellen in Ihrem Terminal anzeigen. Nehmen Sie an, dass jedes Tool, das Ihre Dateien öffnet, Daten aussenden kann und verlangt Transparenz über das, was genau gesendet wird, wie es gespeichert wird, wie lange und welche Zugangskontrollen angewendet werden. Wenn der Lieferant den Upload vom Server deaktivieren kann, muss diese Kapazität dokumentiert und geprüft werden; in der Zwischenzeit liegt die Verantwortung für die Minimierung der Belichtung bei dem Entwickler: Um Repository-Anmeldeinformationen zu vermeiden, ephemerale Geheimnisse zu verwenden und die Rechte der vorhandenen Schlüssel zu begrenzen.