xAI의 AI 코딩 도구 그록 빌드(Grok Build) CLI가 작업에 필요한 파일만이 아니라 전체 깃 저장소를 커밋 이력·깃이 추적하지 않는 파일·시크릿까지 통째로 xAI의 구글 클라우드 저장소에 업로드해 온 사실이 드러났어요. 12기가 저장소에서 모델이 실제로 주고받은 데이터는 192KB인데 저장소로 빠져나간 건 5.1기가로, 필요량의 2만7천 배가 새어 나갔어요. '모델 개선' 설정을 꺼도 업로드가 멈추지 않았고, 회사는 7월 13일 조용히 기능을 끈 뒤 X에만 언급했을 뿐 정식 보안 공지는 없었어요.
용어 풀이
- CLI
- 명령줄에서 실행하는 프로그램. 여기선 터미널에서 쓰는 그록 빌드 코딩 도구
- 시크릿
- API 키·비밀번호·토큰처럼 노출되면 안 되는 인증 정보
- 커밋 이력
- 깃에 기록된 코드 변경 내역. 지운 파일·과거 비밀번호도 남아 있을 수 있음
운영자 인사이트
코딩 에이전트에 저장소를 통째로 맡길 때 무엇이 어디로 나가는지 아무도 안 보고 있었다는 게 진짜 문제예요. 그록 빌드를 쓴 적 있다면 커밋과 이력에 담긴 키·비밀번호를 지금 바로 교체하세요.
여러 관점으로 보기
- 유출 규모 12기가 저장소에서 모델이 실제 쓴 192KB의 2만7천 배인 5.1기가가 빠져나갔어요. The Hacker News
- 프라이버시 설정 무력 데이터 수집을 막는 줄 알았던 '모델 개선' 설정을 꺼도 업로드가 계속됐어요. Tech Times
- 회사 대응 머스크가 전체 사용자 데이터를 지우겠다고 했지만 정식 보안 공지는 없었어요. The Verge