安全研究机构 Cereblab 于周一发布报告，揭露了 SpaceXAI（原 xAI）旗下 AI 编程工具 Grok Build 的一项严重隐私问题：该工具的命令行界面（CLI）会悄悄将用户的整个代码仓库打包并上传至 谷歌云 存储。更令人担忧的是，上传范围甚至包括了用户明确指示不要打开的文件，以及已从历史记录中删除的密钥和凭证。

这一行为的数据收集范围，被指远超 Anthropic 的 Claude Code 等同类 AI 编程助手。Cereblab 的研究人员指出，截至周一，他们的测试显示 SpaceXAI 的服务器已返回一个“disable_codebase_upload: true”的标志，表明该代码库上传功能“不再触发”，意味着公司在事件被公开报道前已将其关闭。

面对舆论质疑，埃隆·马斯克 在社交平台 X 上作出回应。他声称，Grok Build 此前上传的所有数据将被“完全且彻底地删除”。同时，马斯克在另一篇帖子中强调“隐私设置始终被尊重”，但他也向用户提出请求，希望用户允许 SpaceXAI 保留其数据，称这“有助于调试问题”。

然而，独立安全研究员的看法更为严峻。伦敦国王学院的 Lukasz Olejnik 博士 向 The Verge 确认，这种程度的数据保留是“过度的”。他警告称，可能面临风险的数据包括“专有源代码、安全漏洞信息、个人数据、基础设施细节以及凭证”，一旦泄露，后果不堪设想。

SpaceXAI 最初对此事的回应试图将控制权交还给用户。公司发帖称，如果未启用零数据保留模式，用户可以在命令行中使用“/privacy”命令来禁用数据保留，并删除此前同步的数据。但 Cereblab 迅速反驳了这一说法，指出“/privacy”只是一个针对单次会话的保留开关，并非解决此次大规模上传问题的根本控制措施，不应被当作挡箭牌。

此次事件为快速发展的 AI 编程工具行业敲响了警钟。Grok Build 作为一款旨在提升开发者效率的工具，其默认或后台的数据收集行为却可能将企业最核心的数字资产——源代码——暴露于不可控的风险之中。如何在智能化功能与用户数据隐私之间划定清晰的边界，已成为所有 AI 工具提供商必须直面的核心挑战。