AI命令行工具隐私风险

xAI旗下命令行工具Grok CLI被曝在无提示情况下递归上传整个项目目录，包括.env配置、SSH密钥、Git凭证等敏感文件，引发开发者广泛恐慌。安全研究员Grishka在GitHub提交issue后，问题迅速在Hacker News和Reddit发酵，迫使xAI三小时内发布v0.2.1紧急修复版本，新增交互式权限确认和精细控制参数。但用户质疑修复滞后，此前下载的早期用户已面临密钥泄露风险。事件再次折射AI编码助手为强化模型上下文理解而默认激进采集数据的行业通病，凸显CLI工具越权访问系统底层的破坏性以及供应链信任的脆弱性，专家呼吁在隔离环境中运行未审计工具并加强文件权限管理。