埃隆·马斯克近日宣布，SpaceX已正式将智能体编程框架Grok Build以Apache 2.0许可证开源，相关代码库已上传至GitHub平台。这一决定源于此前该工具被曝存在严重数据安全问题——在用户未明确授权的情况下，系统会默认上传整个Git代码仓库至Google Cloud Storage，上传数据量可达模型实际处理需求的2.78万倍。
安全研究人员通过流量监控工具发现，即使执行"仅回复OK"的简单指令，Grok Build仍会生成包含完整Git历史的压缩包并上传。测试显示，一个12GB的代码库仅产生192KB模型交互流量，却生成5.1GB存储上传流量。更令人震惊的是，系统会同步上传.env配置文件等敏感信息，且该行为不受用户"改进模型"选项设置影响。某用户甚至反馈其SSH密钥和密码管理器数据库被完整上传，引发对商业机密泄露的广泛担忧。
面对舆论压力，马斯克迅速作出三重承诺：立即删除所有已上传用户数据、开源核心代码库、对系统进行安全审计。SpaceXAI随后在GitHub发布包含84.4万行Rust代码的完整项目，其中仅3%为第三方组件。代码审查发现，系统虽保留数据上传模块，但已通过服务端配置添加全局禁用标志disable_codebase_upload。值得注意的是，隐私控制命令/privacy仅影响数据留存时长，无法阻止初始上传行为。
技术分析显示，该框架实现高度自主化，涵盖界面渲染、文件监控、熔断机制等基础设施。在工具移植方面，项目直接复用了Codex和OpenCode的多个核心功能模块，包括目录遍历、文件读写等API。这种设计虽可能提升模型兼容性，但也引发关于开源协议合规性的讨论。项目方在THIRD_PARTY_NOTICES文件中强调，所有代码移植均符合原项目的Apache/MIT许可要求。
开源首日，Grok Build即获得1.21万个GitHub星标，显示开发者社区的高度关注。对比OpenAI的Codex项目（95万行代码），该框架的代码规模印证了终端AI编程工具的复杂程度。尽管马斯克呼吁用户继续共享数据以协助调试，但研究人员指出，除非彻底移除上传模块或增加本地处理选项，否则数据安全风险仍将存在。目前，独立验证机构尚未确认SpaceX是否已完全清除历史上传数据。
