Sua base de código está “sem proteção”?

O Grok Build CLI teria sido exposto por, por padrão, compactar e enviar todo o seu repositório Git local para a nuvem — até mesmo incluindo arquivos que você não permitiu que ele lesse.
A júnior explica do jeito mais simples possível: o que é um CLI, por que ele precisa ler seu código, o que exatamente aconteceu nessa polêmica e se ainda dá para usar agora.
1️⃣ O que é CLI?
CLI = Command Line Interface (interface de linha de comando), que é aquela caixinha preta em que você digita comandos no terminal.
2️⃣ O que é o Grok Build CLI?
É um assistente de programação com IA em formato de terminal lançado pela xAI. Você não precisa abrir a web nem um IDE: basta digitar “grok” no terminal para ele ajudar a ler o código, alterar o código, planejar o projeto e executar comandos.
3️⃣ Por que uma IA precisa ler seu repositório de código?
Porque ele é um Agent de codificação, e para concluir tarefas complexas ele precisa entender o projeto inteiro:
- relações entre vários arquivos
- arquitetura do projeto e relações de dependência
- histórico de commits do Git (para saber o que mudou antes)
- suporte a agentes subsidiários trabalhando em paralelo
A explicação oficial é: para a IA ter um “contexto completo”, conseguindo trabalhar como um engenheiro de verdade — e não apenas enxergar um único arquivo que você está aberto no momento.
4️⃣ O cerne da controvérsia está na “forma de leitura”:
Pesquisadores interceptaram o tráfego e descobriram que o Grok Build CLI “por padrão empacota e envia todo o seu repositório Git local” para o lado da nuvem da xAI (incluindo arquivos nunca lidos por IA + histórico completo do git).
Mesmo que você indique explicitamente no prompt “não leia nenhum arquivo”, ele ainda assim envia o repositório inteiro.
Além disso, se ele ler o arquivo .env, as chaves que estiverem nele também serão enviadas.
Esse mecanismo de “upload padrão do repositório inteiro” não foi explicado de maneira clara na documentação oficial — e isso é a principal razão por trás da discussão.
5️⃣ Linha do tempo do evento:
• 10-11 de julho: pesquisadores de segurança encontraram o comportamento acima ao capturar o tráfego
• 12 de julho: as análises relacionadas se espalharam no Reddit e no X
• 13 de julho, madrugada: a xAI empurrou rapidamente ajustes via configuração no servidor, limitando o upload do repositório como um todo
Até agora, a conta oficial da Grok respondeu, admitindo a existência desse mecanismo e dizendo que já ajustou com base no feedback.
Evidência principal: Gist:

6️⃣ Recomendações atuais de uso:
- Projetos pessoais comuns: você pode continuar usando, mas recomenda-se ativar o Plan Mode
- Projetos com informações sensíveis, código de empresa, chaves reais: não use temporariamente
- Garanta excluir rigorosamente arquivos e diretórios sensíveis via .gitignore
Esse episódio também serve de alerta:
Na era da IA, os dados ficam fáceis de “cair na rua”. Ao usar ferramentas de codificação com IA, nunca ignore o que elas leem e enviam por trás.