Dein Coding-Agent sieht mehr, als du denkst.

Der Forscher (Handle cereblab) hat Grok Build ausdrücklich gesagt: „Antworte nur mit OK und öffne keine Dateien.“ Trotzdem ging das ganze Repo als Git-Paket an einen Cloud-Speicher von xAI. Aus dem mitgeschnittenen Paket konnte er eine Testdatei wiederherstellen, die der Agent nie geöffnet hatte.

• Hochgeladen wurde das komplette Repo inklusive aller früheren Versionen. Auch Zugangsdaten, die längst gelöscht waren, stecken in so einer Historie.
• Bei einem großen Test-Repo gingen über 5 GB raus, während das Modell selbst nur rund 192 KB davon brauchte.
• Ein Nutzer berichtete, dass er Grok aus seinem Home-Verzeichnis gestartet hatte und damit SSH-Schlüssel, Passwortmanager und Fotos betroffen waren.
• Laut Berichten von devops.com und Better Stack zeigten Claude Code, Codex und Gemini CLI im Vergleich kein solches Hochladen ganzer Repos.

Nachdem die Geschichte viral ging, hat xAI das Hochladen serverseitig abgeschaltet, und Elon Musk hat versprochen, dass alle bisher hochgeladenen Daten gelöscht werden. Ob das vollständig passiert ist, ließ sich von außen nicht prüfen. Kurz danach hat xAI den Code von Grok Build als Open Source veröffentlicht.

Diesen Befehl im Terminal ausführen. Keine Ausgabe heißt: Im Log steht kein Upload.

grep repo_state.upload ~/.grok/logs/unified.json

Steht dort etwas, dann gilt jedes Passwort und jeder API-Key, der jemals in diesem Repo lag, als bekannt. Erneuern, nicht nur löschen.

Ein Agent sieht, was in seinem Ordner liegt. Also bestimmst du, was dort liegt.

• Starte einen Agenten nie im Home-Verzeichnis, immer im Projektordner.
• Zugangsdaten gehören in eine .env-Datei, und die gehört in die .gitignore. Nie committen.
• Lag ein Key je in der Git-Historie, gilt er als verbrannt: neuen erzeugen, alten sperren.
• Sperr sensible Dateien zusätzlich in den Einstellungen deines Agenten, zum Beispiel in Claude Code mit einer deny-Regel.
• Lies bei jedem neuen Tool nach, was es an den Anbieter schickt und wie lange es gespeichert wird.

// .claude/settings.json
{
  "permissions": {
    "deny": ["Read(./.env)", "Read(./.env.*)", "Read(./secrets/**)"]
  }
}