Grok CLI từng tải cả tệp bị .gitignore bỏ qua: cần lưu ý gì?

Ngày 17/7/2026, SlowMist công bố kết quả phân tích Grok CLI 0.2.98 trên macOS. Nhóm nghiên cứu cho biết công cụ đã tạo một Git bundle chứa toàn bộ kho mã, kể cả các tệp bị .gitignore loại trừ như .env, .envrc và config.secret, rồi gửi dữ liệu lên hạ tầng lưu trữ của xAI.

Đây là phát hiện đáng chú ý, nhưng cần đọc đúng phạm vi: thử nghiệm áp dụng cho phiên bản 0.2.98 và được đối chiếu với 0.2.93. Sau đó Grok CLI được công khai mã nguồn, xAI thay đổi cấu hình phía máy chủ và tài liệu hiện tại bổ sung các lựa chọn về quyền riêng tư. Coin4VN chưa tự tái hiện lưu lượng của phiên bản mới nhất, nên không kết luận hành vi cũ vẫn tiếp diễn.

SlowMist đã quan sát thấy gì?

SlowMist dựng một dự án thử có khóa API và khóa RSA giả. Các tệp nhạy cảm đều được khai báo trong .gitignore. Sau một câu lệnh “Hello World!”, nhóm ghi nhận 45 yêu cầu HTTP trong 5,2 giây, gồm 14 yêu cầu tải dữ liệu lên. Một số yêu cầu xuất hiện trước khi yêu cầu suy luận được gửi tới mô hình.

• Git bundle khôi phục được cả tệp .env, .envrc và config.secret đã bị .gitignore loại trừ.
• Dữ liệu trong bundle không đi qua cơ chế che khóa bí mật mà SlowMist tìm thấy ở đường dẫn log.
• Hành vi tải lên được ghi nhận ngay cả khi yêu cầu mô hình trả lỗi do tài khoản thử không có tín dụng.
• Nhóm dùng phân tích tĩnh, kiểm tra thời gian chạy và chụp lưu lượng mạng để đối chiếu kết quả.

Điểm dễ hiểu nhầm là vai trò của .gitignore. Tệp này chủ yếu nói cho Git biết tệp nào không nên được theo dõi trong thao tác thông thường; nó không phải một lớp phân quyền và không bảo đảm phần mềm khác sẽ bỏ qua tệp. Nếu một công cụ được phép đọc cả thư mục, chỉ riêng .gitignore không đủ để ngăn dữ liệu bị quét hoặc gửi đi.

Hiện trạng đã thay đổi ra sao?

SlowMist lưu ý phân tích được hoàn tất trước khi Grok CLI công khai mã nguồn ngày 16/7/2026 và cần được xác minh lại trên mã mới. Một phân tích lưu lượng độc lập được cộng đồng dẫn lại sau đó cho biết xAI đã tắt upload codebase từ phía máy chủ. Tài liệu Grok Build hiện cũng mô tả lệnh /privacy, cài đặt trace upload và Zero Data Retention cho tổ chức đủ điều kiện.

Các thay đổi này là tín hiệu tích cực nhưng không biến mọi rủi ro thành bằng không. Cài đặt quyền riêng tư, lưu dữ liệu hội thoại, telemetry và quyền đọc tệp là những lớp khác nhau. Người dùng cần kiểm tra đúng phiên bản, tài liệu chính thức và cấu hình đang có trên máy thay vì dựa vào một ảnh chụp cài đặt cũ.

Ai cần quan tâm nhất?

Rủi ro cao nhất thuộc về lập trình viên hoặc đội vận hành chạy AI CLI ngay trong thư mục có khóa API thật, khóa ví, tệp triển khai, bản sao cơ sở dữ liệu hoặc thông tin khách hàng. Với dự án crypto, một khóa bị lộ có thể dẫn tới mất tài sản hoặc mất quyền điều khiển hạ tầng, nên tiêu chuẩn phòng ngừa cần cao hơn dự án thử thông thường.

Người chỉ dùng Grok trên website để trò chuyện không nằm trong đúng kịch bản mà SlowMist thử nghiệm. Bài nghiên cứu nói về công cụ dòng lệnh có quyền tiếp cận thư mục dự án trên máy.

Cách sử dụng AI CLI an toàn hơn

• Cập nhật công cụ lên phiên bản mới và đọc ghi chú phát hành trước khi dùng với dự án thật.
• Không để seed phrase, khóa riêng hoặc khóa production trong thư mục mà công cụ AI có thể đọc.
• Dùng trình quản lý bí mật hoặc biến môi trường được cấp lúc chạy; không xem .gitignore là hàng rào bảo mật.
• Chạy AI CLI trong bản sao tối giản, container hoặc thư mục chỉ chứa những tệp cần thiết cho tác vụ.
• Kiểm tra cấu hình privacy, telemetry và codebase upload; với doanh nghiệp, cân nhắc chặn endpoint không cần thiết ở tầng mạng.
• Nếu nghi khóa từng bị gửi đi, hãy thu hồi và tạo khóa mới thay vì chỉ xóa tệp khỏi máy.

Bài học rộng hơn không chỉ dành cho Grok. Bất kỳ trợ lý lập trình nào có quyền đọc kho mã đều nên được xem như một phần mềm có quyền truy cập dữ liệu nội bộ. Hãy cấp đúng phạm vi cần thiết, theo dõi kết nối ra ngoài và dùng dữ liệu giả khi thử nghiệm.