抓包实测：xAI 的 Grok Build 命令行工具会偷偷上传你的 .env 和整个代码仓库

What xAI's Grok Build CLI Actually Sends to xAI

有人对 Grok Build CLI（v0.2.93）做了抓包分析，发现它默认会把整个项目仓库上传到 xAI 的谷歌云存储桶里，包括 .env 文件里的明文密钥和完整的 git 提交历史。就算你给模型的指令是“只回复 OK，别读任何文件”，整个仓库照样被上传。在一个 12 GB 的测试仓库上，存储上传量达到 5.10 GiB，是模型对话通道数据量的约 ...

推荐理由：这篇文章的价值在于它做了别人没做的事：直接抓包看 Grok Build CLI 到底传了什么。结果比很多人担心的更糟——整个仓库默认上传，连 .env 明文密钥和 git 历史都不放过，而且跟你的 prompt 指令无关。5.10 GiB 的上传量也说明这不是轻量级的元数据同步，是实打实的全量上传。对开发者来说，这是直接的安全和隐私风险提示，不是概念层面的担忧。我会先打个折：文章没披露 xAI 服务端怎么处理这些数据、存多久、谁有权限访问，这些关键信息缺失。但就凭抓包证据本身，已经足够让用 Grok Build 的人重新评估风险。