xAI Grok Build CLI, Git 저장소 전체를 Google Cloud 버킷에 업로드

Who Should Read

사내 비공개 코드베이스에 AI 코딩 CLI를 붙여 쓰려는 개발자·보안 담당자

Core Mechanics

• 저장소 전체가 통째로 올라갔다
  • 연구자 cereblab이 mitmproxy로 Grok Build CLI 0.2.93을 macOS에서 캡처했다.
  • 추적 중인 파일 전체와 Git 히스토리 전체가 grok-code-session-traces 버킷으로 업로드됐다.
• 실제 작업 트래픽의 약 26,000배가 올라갔다
  • 12GB 테스트 저장소에서 모델 요청 채널은 약 192KB였다.
  • 스토리지 업로드는 약 5.1GB였다.
• 에이전트가 연 파일과 업로드는 별개였다
  • 업로드는 코딩 작업에서 에이전트가 실제로 연 파일과 무관하게 진행됐다.
• 시크릿도 가려지지 않고 나갔다
  • 연구자가 .env에 심은 canary 자격증명(유출 감지용 가짜 키)이 캡처 트래픽에 원문 그대로 보였다.
• "Improve the model" 끄기는 소용없었다
  • 토글을 꺼도 서버 응답은 trace_upload_enabled: true였고 업로드는 계속됐다.
  • 이 설정은 학습 동의만 다루고 코드 반출 여부는 제어하지 않는다.
• 서버 플래그로 조용히 막혔다

Community Reactions

• 이미 HN에서 논의된 건이라는 의견
  • 이 사건의 원래 분석은 "What xAI's Grok build CLI sends to xAI: A wire-level analysis" 글로 먼저 올라와 203개 댓글이 달렸다는 안내가 있었다.
  • 이번 글은 그 후속 재테스트를 다룬 기사다.

How to Apply

• AI CLI 트래픽을 mitmproxy로 직접 떠 보기
  • 새 코딩 에이전트 CLI를 쓰기 전에 빈 테스트 저장소와 가짜 .env로 mitmproxy를 붙여 실행한다.
  • 가짜 키 문자열과 외부 업로드 호스트로 가는 용량을 확인한다.
• 실제 코드 전에 canary 시크릿 심기
  • 테스트 저장소 .env에 식별 가능한 가짜 키를 넣는다.
  • 캡처에서 그 값이 나오면 해당 도구를 사내 코드에 쓰지 않는다.
• 토글 이름을 믿지 말고 egress 제한하기
  • 개발 환경에서 AI CLI가 나갈 수 있는 도메인을 허용 목록으로 제한한다.
  • 모델 API 외 스토리지 업로드는 차단한다.

Try It

# Claude 또는 ChatGPT에 붙여넣기: AI 코딩 CLI 도입 전 데이터 반출 점검 계획 (원문 캡처 방식의 간이 버전)

나는 사내 코드에 쓰기 전 AI 코딩 CLI "{{CLI 이름}}"을 점검하려 한다.
mitmproxy로 트래픽을 캡처할 계획이다. 환경은 {{OS}}다.

다음을 단계별로 알려줘:
1. 빈 테스트 저장소와 가짜 .env(canary 키)를 만드는 명령
2. mitmproxy로 CLI의 HTTPS 트래픽을 가로채는 설정 방법
3. 캡처에서 확인할 항목: canary 키가 평문으로 나가는지, 모델 API 외 스토리지 호스트로 가는 업로드 용량, 설정 토글을 껐을 때의 차이
4. 결과를 판정하는 체크리스트

이어서 해 볼 것: 캡처 요약을 붙여넣고 "반출 여부와 위험도"를 판정해 달라고 요청해 보기

Terminology

관련 논문

• 같은 시뮬레이션, 다른 근거: 도구 출력을 파일로 넘기면 LLM 에이전트 정확도가 어디서 깎이나

  긴 툴 출력을 파일로 넘기자 GPT-5.1은 정확도 11.3%p 하락, 정식 출력 지정하니 회복

• 가짜 뉴스가 진짜 폭락을: LLM 트레이딩 에이전트 대상 정보 주입 공격

  가짜 헤드라인 한 줄로 LLM 트레이딩 에이전트 62%를 조종했다(프롬프트 주입은 14%)

• Harness Engineering 101: LLM은 뇌, harness는 몸

  에이전트는 JSON 배열을 관리하는 루프이고, 16개 챕터로 직접 만들어 본다

• Harness²: 에이전트 harness를 스스로 고쳐 쓰는 재귀 최적화 프레임워크

  모델은 고정하고 harness를 재귀로 고쳤더니 벤치마크 점수가 최대 11.8%p 올랐다

• 해고된 Savannah 경찰관, ICE 요원 남편에게 Flock 계정 공유

  경찰관이 Flock 계정을 남편(ICE 요원)에게 공유했고, 감사에서 983건 검색이 드러나 해고됐다

• tmux와 Claude Code: 세션, send-keys, 그리고 한계선

  tmux로 Claude Code 여러 개를 돌리면 편하지만 에이전트 4개쯤에서 한계가 온다

• Hybrid Reasoning Agents: 잠재 공간에서 생각하고 텍스트로 행동하는 LLM 에이전트

  잠재 공간 추론과 텍스트 도구 호출을 섞었더니 성능 10.4%↑, 토큰 최대 54.7%↓

Related Resources

• https://www.internationalcyberdigest.com/xais-grok-build-cli-uploads-entire-git-repositories-to-a-google-cloud-bucket/
• https://news.ycombinator.com/item?id=48877371