xAI Grok Build CLI, .env 시크릿과 전체 레포를 통째로 xAI 서버에 업로드하는 것으로 드러나

코드베이스 전체를 그냥 훔쳐가는거임??

레포 전체랑 git history까지 다 올린다는거 완전 소름임... grok-4.5 성능 자체는 괜찮은데 이것 때문에 안쓰기로 함

OpenAI도 MS 파트너십으로 깃허브 레포 다 접근 가능한거 아님?

이런 CLI들은 샌드박스 안에서 제한된 디렉토리로만 돌려야함. SSH키 같은거 실수로 긁어갈수도 있잖아

일라가 직접 시켰다기보단 이 분석 파이프라인 자체가 바이브코딩된거고 아무도 리뷰 안했을 확률이 높음

레포 전체 업로드하는 이유 중 하나는 클라이언트 왕복 안하고 모델이 씽킹 중에 코드베이스를 바로 볼수 있게 하려는거일수도 있음

그게 아니라 그냥 니 트레이드 시크릿이랑 앱 디자인 훔쳐다가 자기들 걸로 복제하는거임

돈까지 내면서 자기 코드 바쳐야하는 비즈니스 모델 대단하다 진짜

config에서 disable_codebase_upload=true 하면 업로드 막을수 있음

그런 플래그는 Grok Build CLI 문서에 없음, 니가 물어본 LLM이 지어낸거같은데

그 플래그 실제로 검증은 해본거임?

claude-code, codex 같은 네이티브 에이전트 러너들이 다 이런식으로 위험함, 업데이트마다 뭐가 추가될지 모름

opencode 써도 서버사이드에서 툴콜만으로 코드베이스 재구성 가능해서 별 차이 없음, 그냥 이건 좀 더 노골적인거뿐임

codex는 오픈소스라 그나마 나음

Deepseek 열자마자 홈 디렉토리 스캔하던데 이거보단 나은건지 모르겠음

Qwen이나 Deepseek는 몇달 써봤는데 코드베이스 전체 업로드 시도조차 안함, 로컬에서 head/tail/grep으로 필요한 부분만 추출해서 보냄

이 리포트 사람이 좀 다듬었으면 좋았을텐데 AI가 쓴 글 특유의 지루함이 있음

Grok Build랑 Claude Code 둘다 멀웨어임, 오픈소스 하네스랑 로컬 모델 쓰는게 답임

이게 역사상 가장 성공적인 매스 서베일런스 캠페인일듯, .env 시크릿까지 그대로 보낸다는게

나는 bubblewrap으로 코딩툴 샌드박스 쳐서 워킹 디렉토리만 읽게 하고 네트워크도 프록시로 특정 LLM 호스트만 접근되게 막아놓음, 이러면 yolo 모드 켜도 마음편함