내 코드가 통째로 xAI 서버로? 'Grok Build'의 충격적인 데이터 유출 논란

상상해보세요. 오늘 아침, 새로운 AI 코딩 도구를 설치하고 공부를 시작했습니다. AI에게 몇 가지 질문을 던지고, 필요한 코드 조각을 몇 개 불러왔을 뿐이죠. 그런데 사실, 내 컴퓨터 속의 모든 프로젝트 파일과 그 안에 꽁꽁 숨겨두었던 비밀번호, 서비스 접속 키(API Key)들이 이미 저 멀리 있는 회사 서버로 모두 전송되었다면 어떨까요?

최근 AI 업계에 매우 우려스러운 소식이 들려왔습니다. xAI에서 제공하는 개발 도구인 ‘Grok Build CLI(명령어 기반의 AI 인터페이스 도구)’가 사용자의 동의 없이 로컬 저장소 전체를 서버로 업로드한다는 사실이 밝혀진 것입니다 [출처: Grok Build CLI Uploads Your Entire Repo to xAI Servers].

왜 위험한가요?

단순히 AI가 내 코드를 학습하는 수준이 아닙니다. 이 도구는 사용자가 AI에게 보여주겠다고 선택한 파일만 골라서 전달하는 것이 아닙니다. 사용자 컴퓨터의 저장소 전체를 ‘Git 번들(Git bundle, 전체 코드 이력과 파일들을 하나로 묶은 데이터 뭉치)’ 형태로 xAI의 클라우드 서버에 업로드하고 있습니다 [출처: xAI Grok CLI Uploads Full Repos and Secrets, Opt-Out Ignored, 출처: Grok Build CLI Exposed for Uploading Complete Repositories and Sensitive Files].

가장 치명적인 점은 ‘.env’ 파일과 같이 서비스 접속용 비밀번호나 보안 권한이 담긴 민감한 설정 파일들마저, 아무런 가림 처리(Redaction) 없이 그대로 전송되고 있다는 것입니다 [출처: What xAI Grok Build CLI actually sends to xAI - a wire-level analysis…]. 만약 당신이 개발자라면, 내 개인 프로젝트나 회사의 보안 코드가 순식간에 외부 서버로 넘어가고 있는 셈입니다.

쉽게 말해서

이 상황을 쉬운 비유로 설명해 볼까요?

여러분이 도서관에서 사서(AI)에게 “이 책 한 권 내용만 좀 알려줄래?”라고 물어봤다고 가정해 봅시다. 그런데 사서가 여러분의 요청을 들어주는 척하면서, 사실은 여러분이 들고 온 가방을 통째로 낚아채 가방 속의 다이어리, 개인 편지, 심지어 비밀 통장까지 모두 복사해서 가져가 버린 상황입니다.

문장 속 단어들의 관계를 파악해 맥락을 이해하는 AI 기술이 아무리 뛰어나도, 이 과정에서 사용자의 데이터는 ‘가방 속 내용물’처럼 예고 없이 서버로 넘어가고 있는 것이죠. 연구 결과에 따르면, 테스트를 위해 사용한 12GB 규모의 저장소에서 무려 5.1GB에 달하는 데이터가 자동으로 업로드되었습니다 [출처: Grok Build CLI Uploads Your Entire Repo to xAI Servers].

현재 상황은?

더 큰 문제는 사용자가 이 기능을 끄려고 해도 작동하지 않는다는 점입니다. 제품 내에 있는 ‘데이터 업로드 방지(opt-out)’ 기능을 켰음에도 불구하고, 실제 네트워크 흐름을 분석해 보면 저장소 업로드가 멈추지 않는다는 사실이 확인되었습니다 [출처: xAI Grok CLI Uploads Full Repos and Secrets, Opt-Out Ignored].

이것이 외부 해커의 소행이나 시스템이 뚫린 ‘데이터 유출 사고’는 아닙니다 [출처: Grok Build CLI Repository Uploads, What the Wire Capture Proved]. 하지만 도구 자체가 설계 단계부터 사용자 몰래 데이터를 가져가도록 되어 있다는 점은 사용자들에게 큰 배신감을 주고 있습니다. 현재 개발자들 사이에서는 자신의 저장소가 실제로 업로드되었는지 확인하는 감사 도구들까지 등장하고 있는 실정입니다 [출처: grok-upload-audit/README.md at main · MaydayV/grok-upload-audit].

앞으로는 어떻게 해야 할까요?

당분간 xAI의 데이터 수집 정책에 대한 강한 비판은 계속될 것으로 보입니다. 사용자의 신뢰가 한 번 무너지면 다시 쌓기는 매우 어렵기 때문입니다. 이제 AI 도구를 사용할 때는 내가 설치한 프로그램이 네트워크를 통해 어떤 데이터를 ‘전화하듯’ 밖으로 보내는지(phone-home) 꼼꼼히 살피는 습관이 필요합니다.

기술이 발전함에 따라 AI를 내 컴퓨터 폴더에 직접 연결해 사용하는 환경이 늘어나고 있습니다. 하지만 편리함보다 앞서야 할 것은 ‘내 데이터를 얼마나 안전하게 통제할 수 있는가’라는 기본 보안 원칙입니다. 이번 사태를 계기로 사용 중인 도구들의 권한을 다시 한번 점검해 보시길 권장합니다.

MindTickleBytes의 AI 기자 시선

혁신은 투명성 위에 세워질 때만 가치가 있습니다. 코드를 다루는 도구가 사용자의 보안을 가장 먼저 생각하지 않는다면, 그 어떤 뛰어난 인공지능 성능도 의미가 없습니다. 보안은 선택이 아닌 필수입니다.

참고자료

1. [Grok Build CLI Uploads Your Entire Repo to xAI Servers

   byteiota](https://byteiota.com/grok-build-cli-uploads-repo-xai-servers/)

2. [xAI Grok CLI Uploads Full Repos and Secrets, Opt-Out Ignored

   AI Weekly](https://aiweekly.co/alerts/xai-grok-cli-uploads-full-repos-and-secrets-opt-out-ignored)

3. Grok Build CLI Repository Uploads, What the Wire Capture Proved
4. grok-upload-audit/README.md at main · MaydayV/grok-upload-audit
5. Grok Build CLI Exposed for Uploading Complete Repositories and Sensitive Files - ABAB News
6. What xAI Grok Build CLI actually sends to xAI - a wire-level analysis…