Peneliti keamanan siber baru-baru ini mengungkap temuan mengkhawatirkan mengenai Grok Build CLI, alat baris perintah resmi dari xAI yang dirancang untuk membantu pengembang menulis kode dengan bantuan kecerdasan buatan. Analisis tingkat jaringan yang dilakukan oleh peneliti independen menunjukkan bahwa alat ini secara diam-diam mengirimkan seluruh isi repositori kode, termasuk file rahasia seperti .env yang berisi kunci API dan kata sandi database, ke server xAI tanpa redaksi atau persetujuan eksplisit dari pengguna.
Investigasi teknis yang dipublikasikan melalui repositori GitHub Gist menguraikan bagaimana Grok versi 0.2.93, saat dijalankan pada lingkungan macOS Apple Silicon, melakukan tiga transmisi data signifikan. Pertama, konten file yang dibaca oleh agen AI — termasuk file konfigurasi sensitif — dikirimkan ke endpoint /v1/responses sebagai bagian dari permintaan model. Kedua, seluruh repositori dikemas sebagai git bundle dan diunggah ke endpoint /v1/storage yang menuju ke bucket Google Cloud Storage bernama grok-code-session-traces. Ketiga, pengaturan "Improve the model" yang dinonaktifkan ternyata tidak menghentikan perilaku pengunggahan ini, karena endpoint /v1/settings tetap mengembalikan trace_upload_enabled: true.
Metodologi penelitian ini sangat ketat dan dapat direproduksi. Peneliti menggunakan mitmproxy untuk mengintersep lalu lintas HTTPS, memasang sertifikat CA kustom ke keychain login, dan menjalankan Grok melalui proxy tersebut. Untuk memastikan akurasi, mereka menciptakan repositori uji coba berisi file "canary" dengan penanda unik — termasuk file rahasia .env dengan kredensial palsu — yang memungkinkan pelacakan pasti data mana yang dikirimkan. Hasilnya menunjukkan bahwa bahkan saat diminta "balas OK, jangan baca file apa pun", Grok tetap mengunggah seluruh repositori sebesar 5,10 GiB pada kasus uji coba 12 GB, jauh melampaui 192 KB data yang dikirim ke model.
Temuan ini menimbulkan pertanyaan serius tentang praktik privasi data di industri AI coding assistant. Berbeda dengan kebijakan yang transparan, mekanisme pengunggahan ini tidak terdokumentasi dalam materi instalasi atau panduan memulai (quickstart) resmi xAI. Kode biner Grok sendiri mengandung referensi eksplisit ke crate Rust internal bernama xai-data-collector dengan modul untuk GCS (Google Cloud Storage), antrean unggah, pelacakan akses file, dan pengunggah manifes — membuktikan bahwa arsitektur pengumpulan data ini disengaja dibangun ke dalam produk.
Bagi pengembang dan organisasi di Indonesia yang mulai mengadopsi alat bantu kode berbasis AI, temuan ini memiliki implikasi hukum dan keamanan yang signifikan. Undang-Undang Perlindungan Data Pribadi (UU PDP) No. 27 Tahun 2022 mewajibkan pengendali data untuk mendapatkan persetujuan eksplisit sebelum memproses data pribadi, termasuk kredensial teknis yang sering disimpan dalam file .env. Pengunggahan otomatis riwayat git dan kode sumber pribadi ke server pihak ketiga tanpa kontrol granular dapat melanggar ketentuan ini serta standar keamanan seperti ISO 27001 dan regulasi ekspor data lintas batas.
Secara teknis, fakta bahwa pengunggahan berlangsung melalui Google Cloud Storage bukan infrastruktur xAI sendiri menambah lapisan kompleksitas hukum. Data pengembang Indonesia yang dikirim ke bucket grok-code-session-traces berada di bawah yurisdiksi hukum AS dan kebijakan Google Cloud, yang mungkin tidak selaras dengan persyaratan kedaulatan data Indonesia. Rasio 27.800:1 antara data repositori yang diunggah versus data yang dikirim ke model AI membuktikan bahwa tujuan utama saluran /v1/storage adalah pengarsipan kode penuh, bukan inferensi model.
Industri pengembangan perangkat lunak global telah merespons dengan skeptisisme. Para pakar keamanan menyarankan penggunaan firewall egress, proxy inspeksi TLS, atau menjalankan alat AI coding dalam lingkungan terisolasi (air-gapped) hingga vendor menyediakan kontrol opt-out yang terverifikasi. Beberapa organisasi telah mulai mengaudit kebijakan vendor AI mereka dan menuntut transparansi radikal tentang aliran data, termasuk apakah data sesi digunakan untuk pelatihan model masa depan — pertanyaan yang xAI belum jawab secara definitif meskipun mengklaim tidak melatih model dengan data konsumen.
Kasus Grok Build CLI menjadi pengingat kritis bahwa kemudahan penggunaan alat AI modern sering kali datang dengan trade-off tersembunyi berupa eksposur aset intelektual dan kredensial. Bagi ekosistem teknologi Indonesia yang berkembang pesat, insiden ini seharusnya mempercepat pembentukan standar industri untuk audit keamanan alat pengembang AI, serta mendorong regulator untuk menegakkan transparansi aliran data sebagai prasyarat distribusi produk AI di wilayah hukum nasional.