GrokのCLIがローカルファイルをクラウドにアップロードしていた：エージェントツールの信頼問題に具体的な事例

Le Pragmatic Engineerによると、GrokのCLIは、プロンプトされたコンテキストを超えて、開発者のマシンからxAIのクラウドにファイルをアップロードしているという。エージェントのCLIはローカルのバイナリではなく、デフォルトでデータを流出させるクライアント-サーバー構造になっている。

簡単に言えば

エージェントのCLIは、ローカルのコマンドだけを実行するわけではない：モデル提供者のクラウドにファイルを送信する。Gergely Orosz（The Pragmatic Engineer）によると、GrokのCLIもそれを行っており、明示的に共有されていないファイルも含まれる。もはや問題は「そんなことが起こり得るか？」ではなく、「どのエージェントのCLIがそれを行い、どれがそれを公表しているか？」だ。

事実

Gergely Orosz（The Pragmatic Engineer）は、7月16日のニュースレターで、公式のGrok CLIがローカルのファイルをxAIのインフラにアップロードするケースを報告した。ユーザーがコンテキストとして指定していないファイルも含まれる。この挙動はCLIのフローで明確に示されていない。出典は短い編集記事であり、まだポストモーテムや第三者監査ではない。

中身

現代のコーディングエージェントのCLIは、リモートの補完/実行サービスのクライアントのように振る舞う：モデルにコンテキスト（ファイル、コマンド出力、履歴）を送信し、実行すべきアクションを受け取る。問題は、ユーザーが指定していないファイルをCLIが送信することだ。企業のコードでは、サーバーの管轄、転送時の暗号化、プロバイダー側のデータ保持が理論的な問題ではなくなる。

変わること

これは技術的なスクープではない：フロンティアプロバイダーのCLIが明確な同意なしにデータを送信する初の一般向けユースケースだ。DSIは「これはローカルに留まる」という暗黙の前提でエージェントのCLIを許可していたが、今後はこれらのツールをデータ転送のあるSaaSとして扱う必要がある—SaaSとしてのDPA、リージョン、監査、オプトアウトが必要になる。DSIのいない個人や従業員は、ネットワーク監視と隔離（コンテナ、VM、サンドボックスディレクトリ）が唯一の現実的な保護手段だ。

結論

エージェントのセキュリティ議論は長らくプロンプトインジェクションや危険なツールコールに焦点を当ててきた。Grok CLIのケースは問題をシフトさせる：攻撃対象領域は実行時ではなく、インストール時から始まる。顧客にエージェントのCLIをインストールさせる製品を作るなら、「どのファイルをクラウドに送信し、どのような場合に送信するのか」という条項が選択基準となり、文書化すべき差別化要因となる。Anthropic（Claude Code）、OpenAI（Codex CLI）、Google（Gemini CLI）：比較マトリックスはいつ公開されるのか？