cereblab
安全研究者，因通过抓包测试发现Grok Build CLI暗中上传git仓库数据而受到关注
时间轴 (近 90 天)
xAI的Grok Build CLI 0.2.93在仅收到「OK」回复、未读取任何文件的情况下，仍将包含4次提交、47个文件的完整git bundle推送至xAI的存储端点。
在一次约12GB随机文件仓库的测试中，约192KB流向模型通道，而约5.10GiB流向存储通道，分成73个约75MB的分块。
关闭「Improve the model」隐私开关后，git bundle上传仍以HTTP 200成功通过，服务器/v1/settings响应中仍带trace_upload_enabled: true。该开关控制的是训练而非上传。
在一次代理真正读取文件的真实任务中，被git追踪的.env文件内容进入了模型对话轮次，同一批值也落入了准备发往存储的session_state归档。
2025年7月13日，同一个0.2.93版本的Grok Build CLI突然停止存储请求，六次重测均为零次/v1/storage上传，服务器返回disable_codebase_upload: true和trace_upload_enabled: false。
cereblab实测/privacy功能后得出结论：它控制的是数据保留，而非控制发送什么数据。
像Read(secret.txt)这样的deny规则能阻止代理读取文件，但被git追踪的该文件仍存在于上传的git bundle中。
2025年7月13日用同一canary仓库测试：Claude Code 2.1.204只发送POST api.anthropic.com/v1/messages；Codex通过WebSocket将模型对话发往chatgpt.com并附带遥测；Gemini 0.38.2在API-key模式下空闲运行无bundle，真实任务撞上429配额错误。三者均未上传仓库bundle。
服务器下发的开关服务器可以随时扳回，机器上不会出现新二进制，changelog也不会有记录；因此对代理CLI的安全审计必须可重复，纳入CLI升级流程而非一次性取证结论。
全部知识事实 (9)
像Read(secret.txt)这样的deny规则能阻止代理读取文件，但被git追踪的该文件仍存在于上传的git bundle中。
50%待验证2025年7月13日用同一canary仓库测试：Claude Code 2.1.204只发送POST api.anthropic.com/v1/messages；Codex通过WebSocket将模型对话发往chatgpt.com并附带遥测；Gemini 0.38.2在API-key模式下空闲运行无bundle，真实任务撞上429配额错误。三者均未上传仓库bundle。
50%待验证服务器下发的开关服务器可以随时扳回，机器上不会出现新二进制，changelog也不会有记录；因此对代理CLI的安全审计必须可重复，纳入CLI升级流程而非一次性取证结论。
50%待验证在一次约12GB随机文件仓库的测试中，约192KB流向模型通道，而约5.10GiB流向存储通道，分成73个约75MB的分块。
50%待验证关闭「Improve the model」隐私开关后，git bundle上传仍以HTTP 200成功通过，服务器/v1/settings响应中仍带trace_upload_enabled: true。该开关控制的是训练而非上传。
50%待验证cereblab实测/privacy功能后得出结论：它控制的是数据保留，而非控制发送什么数据。
50%待验证2025年7月13日，同一个0.2.93版本的Grok Build CLI突然停止存储请求，六次重测均为零次/v1/storage上传，服务器返回disable_codebase_upload: true和trace_upload_enabled: false。
50%待验证在一次代理真正读取文件的真实任务中，被git追踪的.env文件内容进入了模型对话轮次，同一批值也落入了准备发往存储的session_state归档。
50%待验证xAI的Grok Build CLI 0.2.93在仅收到「OK」回复、未读取任何文件的情况下，仍将包含4次提交、47个文件的完整git bundle推送至xAI的存储端点。
50%