Kode repositorimu sedang “telanjang”?

Grok Build CLI dikabarkan akan secara default mengompres dan mengunggah seluruh repositori Git lokalmu ke cloud, bahkan termasuk file yang tidak kamu izinkan untuk dibacanya.
Berikut kakak adik menjelaskan dengan cara paling sederhana: apa itu CLI, mengapa ia perlu membaca kodenya, apa sebenarnya yang terjadi dalam kontroversi ini, dan apakah sekarang masih bisa dipakai.
1️⃣Apa itu CLI?
CLI = Command Line Interface (antarmuka baris perintah), yaitu cara kotak hitam yang kamu operasikan dengan mengetik perintah di terminal.
2️⃣Apa itu Grok Build CLI?
Itu adalah asisten pemrograman AI versi terminal yang diluncurkan oleh xAI. Kamu tidak perlu membuka situs web atau IDE; cukup ketik grok di terminal, lalu ia bisa membantumu membaca kode, mengubah kode, merencanakan proyek, dan menjalankan perintah.
3️⃣Mengapa AI perlu membaca repositori kode kamu?
Karena ia merupakan coding Agent, dan untuk menyelesaikan tugas kompleks ia harus memahami seluruh proyek:
- Keterkaitan antar banyak file
- Arsitektur proyek dan hubungan dependensi
- Riwayat commit Git (agar tahu apa yang sebelumnya diubah)
- Mendukung kerja paralel untuk sub-agen
Klaim resminya adalah: agar AI punya “konteks lengkap”, sehingga bisa bekerja seperti insinyur sungguhan, bukan hanya melihat satu file yang sedang kamu buka saat itu.
4️⃣Inti kontroversinya ada pada “cara membaca”:
Peneliti melakukan pengambilan paket dan menemukan bahwa Grok Build CLI “secara default akan mengompres dan mengunggah seluruh repositori Git lokalmu” ke cloud xAI (termasuk file yang tidak pernah dibaca oleh AI + riwayat git lengkap).
Bahkan jika prompt-mu dengan jelas mengatakan “jangan baca file apa pun”, ia tetap mengunggah seluruh repositori.
Selain itu, jika ia membaca file .env, kunci yang ada di dalamnya juga akan dikirim.
Mekanisme “unggah penuh secara default” ini “tidak dijelaskan secara tegas” di dokumentasi resmi, dan itulah alasan utama memicu diskusi.
5️⃣Garis waktu kejadian:
• 10-11 Juli: peneliti keamanan menemukan perilaku di atas lewat penyadapan paket
• 12 Juli: analisis terkait menyebar di Reddit dan X
• 13 Juli dini hari: xAI mendorong konfigurasi cepat dari sisi server, membatasi perilaku pengunggahan repositori secara keseluruhan
Saat ini akun resmi Grok telah merespons, mengakui adanya mekanisme tersebut, dan menyatakan bahwa mereka telah menyesuaikannya berdasarkan masukan.
Bukti inti Gist:

6️⃣Saran penggunaan saat ini:
- Proyek pribadi biasa: bisa tetap digunakan, tetapi disarankan mengaktifkan Plan Mode
- Proyek yang berisi informasi sensitif, kode perusahaan, atau kunci asli: sementara jangan digunakan
- Wajib gunakan .gitignore untuk mengecualikan file dan direktori sensitif secara ketat
Kejadian ini juga mengingatkan semua orang:
Di era AI, data sangat mudah “telanjang”. Saat memakai alat coding AI, jangan pernah mengabaikan data yang dibaca dan diunggah di baliknya.