安全研究员 cereblab 发现 Grok Build CLI 会把整个代码仓库打包成 git bundle 上传到 xAI.

即使关掉 Improve model 的开关，上传行为依然照常。

从内容看，它不仅会把你主动读取的文件内容（包括  .env  里的  API_KEY 、 DB_PASSWORD  这类敏感信息）以明文形式发给 xAI, 还会把整个 Git 仓库打包上传到 Google Cloud Storage.

目前 xAI 尚未回应…