科技媒体报道，埃隆·马斯克旗下xAI公司一名员工在GitHub上意外泄露API密钥，持续近两月。该密钥可访问xAI多款大型语言模型，包括未发布的Grok聊天机器人版本和与SpaceX、Tesla等公司数据相关的定制模型。GitGuardian早在3月初就已发出警报，但直至4月底直接联系xAI安全团队后才解决。该事件暴露了AI公司在代码安全管理上的潜在风险，可能导致模型被操控甚至植入恶意代码，威胁供应链安全。

🔑 xAI员工在GitHub上泄露API密钥，该密钥能够访问xAI的多款大型语言模型，包括未发布的Grok聊天机器人版本。

🤖 泄露的密钥不仅能访问公开的Grok模型，还能触及研发中的“tweet-rejector”和“grok-spacex-2024-11-04”等私有模型，这些模型可能包含敏感信息。

⚠️ GitGuardian警告称，攻击者若获取此类访问权限，可能通过提示注入操控模型，甚至植入恶意代码，对整个供应链安全构成威胁。

📅 GitGuardian早在3月2日就通过自动警报通知了涉事xAI员工，但问题直到4月30日直接联系xAI安全团队后才得以解决，反映了xAI内部安全响应机制的迟缓。

IT之家 5 月 2 日消息，科技媒体 KrebsOnSecurity 昨日（5 月 1 日）发布博文，报道称埃隆・马斯克（Elon Musk）旗下人工智能公司 xAI 的一名员工在 GitHub 上，无意泄露了一枚 API 密钥，这一失误持续了近两个月。

来自法国安全咨询公司 Seralys 的“首席黑客官”Philippe Caturegli 率先在 LinkedIn 上曝光了这一问题，安全公司 GitGuardian 随后介入，其系统扫描发现该密钥可访问 xAI 的多款大型语言模型（LLMs），其中包括尚未发布的 Grok 聊天机器人版本（如 grok-2.5V）和与 SpaceX、Tesla 等公司数据相关的定制模型。

IT之家援引博文介绍，GitGuardian 早在 3 月 2 日就通过自动警报通知了涉事 xAI 员工，但直到 4 月 30 日直接联系 xAI 安全团队后，问题才得以解决。

该密钥不仅能访问公开的 Grok 模型，还能触及研发中的“tweet-rejector”和“grok-spacex-2024-11-04”等私有模型。

GitGuardian 研究团队负责人 Carole Winqwist 警告，攻击者若获取此类访问权限，可能通过提示注入（prompt injection）操控模型，甚至植入恶意代码，威胁整个供应链安全。