Grok Build подвергся атаке: похищенный «полный домашний каталог» пользователей был загружен в облако, разработчиков это шокировало: утекло абсолютно всё

AI 寫程式工具淪為隱私吸塵器？根據 X 平台多位開發者警告，馬斯克（Elon Musk）旗下 xAI 的開發工具 Grok Build 引發嚴重的隱私外洩疑慮。有用戶發文控訴，稱其不慎在家目錄（Home Directory）下執行該工具，導致其個人的 SSH 密鑰、密碼管理庫、照片與影片全數被打包上傳至 xAI 的伺服器。
（前情提要：馬斯克要特斯拉員工改用 Grok 省錢，儘管他承認 Claude Fable 更強）
（背景補充：馬斯克旗下 SpaceXAI 正式推出最強模型「Grok 4.5」！攜手 Cursor 猛攻 AI 編碼代理，完美整合 Office 辦公軟體）

本文目錄

Toggle

• 整個家目錄被打包上傳
• 社群早有警告：.env 檔案也難倖免
• 敲響 AI 開發工具的安全警鐘

隨著 AI 輔助開發工具的普及，程式碼與個人隱私資料的安全界線正受到前所未有的挑戰。近日，馬斯克（Elon Musk）旗下 xAI 推出的開發工具 Grok Build，就在社群上引發了軒然大波。

整個家目錄被打包上傳

台北時間 2026 年 7 月 13 日，一位名為 A Green Being（@a_green_being）的開發者在 X 平台上發布了一張令人不寒而慄的日誌（Logs）截圖。他驚恐地表示：「Grok 已經把我的整個使用者目錄上傳到了 xAI 的伺服器上。裡面包含我的 SSH 密鑰、密碼管理員資料庫、個人文件、照片、影片，所有的一切⋯⋯」

根據其分享的統一日誌（unified.json）截圖顯示，系統確實觸發了大量的 repo_state.upload.start 請求，且上傳路徑直接指向了該用戶的家目錄（/home/usuario）。這意味著 Grok Build 在未經明確篩選與排除的情況下，將包含極度敏感資訊的所有本地檔案，全數傳送至了雲端端點。

Okay, grok has uploaded my entire user directory to xAI's servers. It contains my SSH keys, my password manager database, my documents, photos, videos, everything… pic.twitter.com/s8eSs9DGzF

— A Green Being (@a_green_being) July 13, 2026

社群早有警告：.env 檔案也難倖免

事實上，這場隱私災難並非個案。A Green Being 的發文是為了回應另一位知名社群成員 CyberSatoshi（@XBToshi）早先提出的安全警告。CyberSatoshi 曾發文指出，Grok Build 會在背景默默將整個專案庫（Repository）、Git 歷史紀錄，甚至是包含 API 密鑰等機密資訊的 .env 隱藏檔，統統上傳到 Google 雲端平台（GCP）上，這極有可能是被用作後續的模型訓練。

CyberSatoshi 當時便呼籲所有開發者，應盡快檢查本機端的 Grok 日誌檔以確認是否有資料外洩。而面對 A Green Being 私密資料被全數「脫光」的慘況，他也無奈回覆：「你比我還慘，你直接在你的家目錄裡跑了 Grok。」

敲響 AI 開發工具的安全警鐘

這次事件凸顯了當前 AI 開發工具在權限控管與資料抓取上的潛在風險。由於 AI 系統通常需要大量的上下文來理解程式碼邏輯，若工具的底層設計缺乏適當的檔案排除機制（如自動忽略 .gitignore 或系統隱藏檔），便極易釀成災難級的資安漏洞。

目前，資安專家強烈建議，若開發者有使用 Grok Build 或類似的 AI 輔助工具，應絕對避免在根目錄或家目錄下執行。最佳的防護實踐是將這些工具限制在獨立的虛擬環境（Sandbox）、Docker 容器，或建立專屬的受限使用者帳號中運行。此外，用戶應隨時透過終端機指令（如 cat ~/.grok/logs/unified.json | grep repo_state.upload）來監控異常的資料上傳行為，以免個人的數位資產成為訓練 AI 的免費養分。