Công cụ lập trình Grok của SpaceXAI bị phát hiện tự động tải toàn bộ mã nguồn người dùng lên đám mây

Stevie Bonifield

là một cây bút tin tức chuyên viết về mọi lĩnh vực công nghệ tiêu dùng. Stevie bắt đầu sự nghiệp tại Laptop Mag với công việc viết tin tức và đánh giá về phần cứng, trò chơi và AI.

Công cụ lập trình AI Grok Build của SpaceXAI đã bị phát hiện tải toàn bộ cơ sở mã (codebase) của người dùng lên Google Cloud trước khi vấn đề này được báo cáo, và công ty đã phải tắt tính năng này. The Register đưa tin rằng Cereblab đã công bố các phát hiện vào thứ Hai, cho thấy cách Grok Build CLI đóng gói và tải lên toàn bộ kho lưu trữ mã, “bao gồm cả những tệp tin mà nó được yêu cầu không được mở và các bí mật đã bị xóa khỏi lịch sử”, với mức độ lưu trữ dữ liệu lớn hơn đáng kể so với các công cụ tương tự như Claude Code.

Các nhà nghiên cứu cho biết tính đến thứ Hai, các thử nghiệm của họ cho thấy máy chủ của SpaceXAI đã trả về cờ “disable_codebase_upload: true” (vô hiệu hóa tải lên cơ sở mã) và việc tải lên cơ sở mã “không còn diễn ra nữa”.

Elon Musk đã phản hồi về sự cố này trong một bài đăng trên X, khẳng định rằng tất cả dữ liệu mà Grok Build đã tải lên trước đó sẽ bị “xóa sạch hoàn toàn”. Musk cũng cho biết trong một bài đăng khác rằng “các cài đặt quyền riêng tư luôn được tôn trọng”, nhưng ông yêu cầu người dùng cho phép SpaceXAI lưu giữ dữ liệu của họ, với lý do rằng điều đó “hữu ích cho việc gỡ lỗi”.

Tiến sĩ Lukasz Olejnik, một nhà nghiên cứu bảo mật độc lập tại King’s College London, đã xác nhận với The Verge rằng mức độ lưu trữ dữ liệu này là “quá mức”, đồng thời nói thêm rằng dữ liệu có nguy cơ bị lộ có thể bao gồm “mã nguồn độc quyền, thông tin về các lỗ hổng bảo mật, dữ liệu cá nhân, chi tiết cơ sở hạ tầng [và] thông tin xác thực”.

SpaceXAI ban đầu phản hồi về vấn đề này bằng một bài đăng nói rằng: “Nếu [tính năng không lưu trữ dữ liệu] bị tắt, lệnh /privacy sẽ khả dụng trong CLI để vô hiệu hóa việc lưu trữ dữ liệu, lệnh này cũng sẽ xóa các dữ liệu đã đồng bộ trước đó”. Tuy nhiên, Cereblab chỉ ra rằng “/privacy chỉ là một nút chuyển đổi lưu trữ theo phiên, không phải là công tắc đã khắc phục sự cố này, vì vậy nó không nên được coi là biện pháp kiểm soát chính”.

Hãy theo dõi các chủ đề và tác giả từ bài viết này để xem thêm các nội dung tương tự trên trang chủ cá nhân của bạn và nhận thông tin cập nhật qua email.