Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
SpaceXAI è finita al centro delle polemiche dopo che Grok Build avrebbe caricato interi repository Git su Google Cloud, inclusi codici privati e credenziali. La raccolta dati, attiva di default, solleva dubbi su privacy, consenso, sicurezza del codice sorgente e possibile utilizzo delle informazioni per l'addestramento dei modelli di intelligenza artificiale.
SpaceXAI ha ammesso in modo indiretto i controversi metodi di aggregazione dati utilizzati in Grok Build. L’azienda (ed Elon Musk stesso) si sono limitati a sottolineare che gli ingegneri software possono disattivare la condivisione delle informazioni tramite specifiche configurazioni della /privacy, affermando che questa modifica mira a migliorare il modello sottostante.
Tuttavia, SpaceXAI ha mantenuto una posizione intransigente, omettendo qualsiasi spiegazione sul perché siano stati raccolti interi repository di codice non correlati alla programmazione AI e senza giustificare la mancanza di consenso degli utenti per questa raccolta massiva.
Il 13 luglio 2026, International Cyber International Digest ha rivelato che l’interfaccia a riga di comando Grok Build CLI stava caricando interi repository Git su un bucket Google Cloud, inclusi codici privati contenenti segreti. Gli upload sono stati silenziosamente interrotti tramite una flag lato server nascosto, ma xAI non ha ancora fornito dettagli sullo scopo, la conservazione o l’eliminazione di questi dati. Molti clienti sono stati molto duri in risposta ai post pubblicati su X da parte di SpaceXAI e sinceramente risulta difficile biasimarli.
Per chi continua a utilizzare Grok Build, risulta fortemente consigliato agire immediatamente. È possibile eseguire il comando “/privacy” per poter verificare le impostazioni attuali di condivisione delle informazioni. Inaspettatamente, la trasmissione dati rimane attivata per impostazione predefinita. Finché questa opzione persiste, Grok Build invia continuamente l’intero codice del repository locale alla Google Cloud Platform (GCP) per lo storage.
SpaceXAI ha affermato con fermezza che modificare le impostazioni privacy eliminerà retroattivamente i dataset precedentemente sincronizzati, inclusi codici dei repository e metadata associati dagli archivi GCP. Tuttavia, l’organizzazione non ha fornito alcuna garanzia di audit indipendente, rendendo impossibile per gli sviluppatori verificare se le loro informazioni siano state effettivamente cancellate dal cloud. Se i dati persistono, SpaceXAI potrebbe continuare a utilizzarli per il training dei modelli.
Da una prospettiva difensiva, qualsiasi dato trasmesso senza una specifica autorizzazione al cloud deve essere considerato compromesso. Se i repository contenevano credenziali sensibili, è necessario avviare la rotazione delle password e delle chiavi API nascoste nelle configurazioni .env. Nessuno prevede ad oggi come questi materiali esposti potrebbero comportarsi ma se i dati vengono utilizzati per il training di modelli futuri, l’AI potrebbe accidentalmente rivelare credenziali sensibili a utenti non autorizzati durante un evento di allucinazione.
Al centro di questa crisi di fiducia c’è un’anomalia architettonica fondamentale.
Gli strumenti per la programmazione assistita dall’AI trasmettono snippet di codice locali rilevanti per il contesto di sviluppo immediato. Al contrario, Grok Build ha scelto di caricare tutto il repository software su dei server cloud esterni invece di elaborarlo all’interno del proprio modello. Questo metodo rimane profondamente sconcertante, perché molti repository ospitano segreti aziendali e beni commerciali di valore.
Ancora più grave, Grok Build non ha chiarito in anticipo questo meccanismo di raccolta dei repository ed inoltre la dichiarazione ufficiale di SpaceXAI non ha offerto alcuna spiegazione su questa scelta progettuale specifica, ma anzi ne amplifica la criticità.
È uscito il sesto episodio di Betti-RHC, la serie a fumetti di Red Hot Cyber nata con l'obiettivo di trasformare la cybersecurity awareness in un'esperienza di formazione più semplice, coinvolgente e accessibile. Quello che è nato come un progetto editoriale innovativo è diventato negli anni un vero e proprio corso di cybersecurity awareness a fumetti, adottato da aziende e professionisti per sensibilizzare le persone sui rischi informatici attraverso storie, personaggi ed emozioni. In cinque anni di attività, la serie Betti-RHC ha raggiunto un risultato importante: circa 70.000 copie vendute, a testimonianza dell'interesse crescente delle organizzazioni verso nuovi strumenti per costruire una concreta cultura della sicurezza.
Il sesto episodio porta Betti dentro le nostre case, in un mondo "connesso", dove lampadine, telecamere, assistenti vocali, serrature, sensori ed elettrodomestici intelligenti promettono comfort e sicurezza, ma possono nascondere nuove e insidiose superfici di attacco. Attraverso una nuova avventura, Betti ci accompagna alla scoperta del mondo della domotica e dei dispositivi IoT, mostrando come la poca cautela nell'utilizzo di queste tecnologie possa trasformare oggetti quotidiani in porte d'accesso per chi vuole osservare, controllare o colpire.
Per accompagnare la crescita del progetto abbiamo realizzato il sito ufficiale di Betti-RHC, dove è possibile conoscere meglio la serie, gli episodi e il progetto di cybersecurity awareness sviluppato da Red Hot Cyber. L'obiettivo è continuare a portare la cultura della sicurezza fuori dai tradizionali percorsi formativi standard, utilizzando il linguaggio immediato del fumetto per parlare a dipendenti, professionisti e persone senza competenze tecniche. Per maggiori informazioni su Betti-RHC e sul sesto episodio “Open Mic” è possibile visitare il sito ufficiale: betti.redhotcyber.com.