

> 核心观点：代码 Agent 工作依赖「推理上下文通道」——本地读到的文件内容会进入发给 LLM 的请求体。这与「旁路存储通道」是两件事。

> 2026-07 Grok Build 抓包事件的真正冲击，不是「模型读了代码」，而是**未读文件也被全仓打包出域**。

---

## 0. 大白话先说清楚

把 AI IDE 想成一家「带翻译的快递公司」，把 LLM 想成「海外的专家顾问」。你电脑上的代码仓库，是「整栋办公楼里的文件柜」。

### 0.1 一句话类比

| 角色 | 类比 | 它实际碰什么数据 |
|------|------|------------------|
| **你的电脑 / 仓库** | 办公楼文件柜 | 全部源码、`.env`、Git 历史、Skill 配置……都还在本地 |
| **AI IDE（Claude Code / Cursor / Grok Build…）** | 前台助理 + 打包员 | 按你的吩咐去柜子里**翻、找、读**；有时还自己**打整箱快递** |
| **发给 LLM 的那一包** | 这次开会带去的材料复印件 | 只有助理**复印带出去**的那几份文件 |
| **LLM 大模型** | 海外专家顾问 | **只看见你这次寄过去的复印件**，据此写改稿意见；看不见柜子里没带出门的东西 |
| **旁路上云的整仓快照** | 助理偷偷把整柜文件扫描进云盘备份 | 跟「专家开会」无关；专家未必用得上，但**文件已经出国了** |

### 0.2 AI IDE 处理了哪些数据？

AI IDE 跑在你电脑上，权限很大，大致会碰三类东西：

1. **工作区文件**：源码、配置、测试、有时还有 `.env`（密钥文件）。
2. **你的指令与对话**：你说「加个取消订单接口」，以及前后几轮聊天。
3. **本机动作结果**：它跑命令、读文件、搜关键词后拿到的内容——这些会再被它塞进「寄给模型」的包裹。

**记住：AI IDE ≠ 大模型。**  
IDE/Agent 是「本地办事员」；模型是「远程大脑」。办事员能摸到整栋楼；大脑只摸得到寄出去的那一包。

### 0.3 LLM 模型处理了哪些数据？

模型**正常情况下只处理「平面 A」里那一包**：

- 你的问题（prompt）
- 助理读过并塞进请求的**代码片段 / 文件内容**
- 对话历史、项目规则（如 `CLAUDE.md`）、Skill 说明
- 有时还有目录结构、报错日志等摘要

它**默认看不到**：

- 没被读进上下文的其他文件
- 你硬盘上别的项目
- （在纯推理通道里）整仓 Git 历史的全量打包

所以：**「模型处理了代码」=「这次请求里带过去的复印件被模型看了」**，不等于「模型吞下了整个仓库」。

### 0.4 代码有没有泄露风险？有。分两档看

| 档位 | 大白话 | 风险性质 | 典型例子 |
|------|--------|----------|----------|
| **档位 1：工作必要泄露** | 你请人改合同，总得把合同寄给人家看 | **必然发生**：不用 Agent 就写不了代码；用了，读过的代码就会出机 | 平面 A：Read 到的 `OrderService.java` 进 API |
| **档位 2：额外整仓泄露** | 助理还把整栋楼的文件柜扫描上传到海外网盘，你没要求开会用 | **不该默认发生**：跟改这一行代码无关；体积可到 GB | 平面 B：Grok Build 0.2.93 全仓上 GCS |

再补一刀常见误会：

- **「关闭用于改进模型」≠「不上传」**：那往往只管「拿不拿去训练」，不管「寄不寄出」。
- **「模型没打开这个文件」≠「这个文件没出国」**：平面 B 可以把没读过的文件也打包走。
- **密钥进仓库 = 加倍危险**：助理一旦读到或整仓打包，假密钥金丝雀实验已证明会明文出境。

### 0.5 用一张生活流程图串起来


你：「帮我改一下取消订单API」
        │
        ▼
【AI IDE 本地】打开柜子 → 找到相关文件 → 复印几页
        │
        ├──► 快递① 寄给海外专家（LLM）──► 专家只看这几页，写修改建议
        │         ↑ 这是「正常干活」，代码会出机（档位1）
        │
        └──► 快递②（有的产品才有）整柜扫描上传云盘
                  ↑ 这是「额外备份」，可能整仓出机（档位2，Grok 事件）


**给非技术同事的结论：**

1. 用 AI 写代码，**一定有一部分代码会离开你的电脑**——否则模型没法帮你改。
2. 真正要警惕的是：有没有在你不知情时，把**整仓库甚至密钥**也寄走。
3. 选型时分开问两句话：「开会材料怎么寄？」和「会不会偷偷整柜备份？」

---

## 1. 要回答的问题

| # | 问题 | 为什么重要 |
|---|------|-----------|
| Q1 | Agent 写代码时，codebase 是否进入 LLM 上下文？ | 决定「用 Agent = 代码必出机」是否成立 |
| Q2 | 出域的是「读过的片段」还是「整仓快照」？ | 决定风险量级：KB 级 vs GB 级 |
| Q3 | 「关闭改进模型 / Privacy Mode」关掉的是哪条通道？ | 避免把训练开关当成上传开关 |
| Q4 | Claude Code / Grok Build / Cursor 通道结构有何差异？ | 选型与合规分级 |

---

## 2. 网络数据模型

把 AI IDE 的出站流量拆成 **三平面**，不要混成「传不传代码」

![image.png](https://developer.qcloudimg.com/http-save/yehe-9261324/0d2f0b57060700956597c560fe85e504.png)

### 2.1 各平面定义

| 平面 | 目的 | 典型载荷 | 与「本轮写代码」关系 | 用户体感 |
|------|------|----------|----------------------|----------|
| **A 推理上下文** | 让模型理解任务并生成补丁 | Prompt、打开文件、`@` 引用、tool 返回的文件内容、对话历史、规则文件 | **必要**：没有它 Agent 写不了代码 | 聊天/Agent 面板可见「读了哪些文件」 |
| **B 旁路存储** | 会话回溯、调试、产品改进数据、云沙箱冷启动 | 整仓 tar/git bundle、before/after 快照、supplemental 配置 | **非必要**（相对单次补全）；可与 A 并行、默认开启 | 多数产品不在 UI 里高亮 |
| **C 索引/遥测** | 语义检索、崩溃分析、用量计费 | 向量、目录结构、截断的 tool 元数据 | 辅助 | Privacy Mode / 企业策略常控这里 |

### 2.2 对 Q1 的直接答案

**是的：平面 A 一定会把「被选入上下文的代码」传给 LLM。**

机制不是「把整个磁盘镜像塞进 prompt」，而是：

1. Agent 在本机用工具读文件（Read / Grep / Glob / Shell）。
2. 工具结果作为 `tool_result`（或等价字段）拼进下一轮 API 请求。
3. 远程 LLM 只看见请求里带上的那些字节——**没被读进上下文的文件，默认不会出现在平面 A**。

因此：

- 「用代码 Agent」≈「授权厂商（或你自建的网关）处理你选中的源码片段」——这是产品能力本身，不是后门。
- 「全仓静默上传」属于平面 B，**不是**推理所必需；应单独审计、单独开关、单独写进采购条款。

---

## 3. 分析流程

对任意 AI IDE / CLI Agent，按下面 6 步做，避免只看隐私文案。

### Step 0 · 锁定标的

记录：产品名、版本号、二进制/包哈希、账号类型（个人/Team/Enterprise）、是否走自建网关（如 DeepSeek 转发）。

### Step 1 · 画通道图（强制）

填表，禁止跳步：

| 通道 | 端点（host/path） | 触发条件 | 载荷形态 | 默认开？ | 关闭开关叫什么 |
|------|-------------------|----------|----------|----------|----------------|
| A 推理 | | | | | |
| B 存储 | | | | | |
| C 遥测/索引 | | | | | |

**验收标准**：至少用抓包或官方文档把 A/B 分开。若分不开，结论只能写「未知」，不能写「安全」。

### Step 2 · 金丝雀仓库（Canary）

准备最小仓库：

- `src/_probe/never_read_canary.txt`：唯一长标记，prompt 明确要求「禁止读任何文件」。
- `secrets.env`：假密钥标记（勿放真密钥）。
- 可选：大体积随机文件仓，用于测 B 通道体积比。

### Step 3 · 双通道取证

| 实验 | 做法 | 判据 |
|------|------|------|
| A-only | Prompt：「只回复 OK，不要读文件」 | 金丝雀标记应 **不出现** 在推理 API body |
| A-read | 让 Agent 打开含密钥文件 | 标记出现在推理 body → 证明「读过的会进上下文」 |
| B-sweep | 同 A-only，同时盯 storage 端点 | 若从未读文件出现在 bundle/tar → **平面 B 全仓上传** |
| 体积比 | 大仓上对比 A 字节 vs B 字节 | B ≫ A 且 A 几乎无代码 → B 与任务解耦 |

参考方法（Grok 事件同款）：
mitmproxy / 系统代理解密 TLS，记录 method、host、path、status、request bytes；
对上传物做 `git clone` / `tar -t` 恢复。

### Step 4 · 拆开三个开关语义

| 文案常见说法 | 实际可能只控制 | 不控制的 |
|--------------|----------------|----------|
| Improve the model / 用于训练 | 训练用途 | 上传、会话存储 |
| Privacy Mode / ZDR | 留存、训练、部分遥测 | 当次推理所需的 A 通道传输 |
| Disable telemetry | 用量/崩溃事件 | A/B 业务流量 |

**规则**：开关名字含「训练/改进」时，默认假设 **B 仍可能开着**，直到抓包证明关闭。

### Step 5 · 风险分级（落地决策）

| 级别 | 代码类型 | 允许的通道 | 推荐形态 |
|------|----------|------------|----------|
| L1 公开/样板 | Demo、博客 | A+B+C 均可 | 任意消费级 Agent |
| L2 业务逻辑 | 主业务、非核心算法 | 仅 A；B 需企业条款+可关 | 企业版 / 自建网关 / 明确无全仓 B |
| L3 机密 | 密钥、风控、未公开专利 | 禁止外发 A/B | 本地模型或物理隔离；人工开发 |

### Step 6 · 持续监测

- 版本升级后重跑 Step 3（行为常随版本变）。
- 订阅厂商 changelog 中 `storage` / `codebase upload` / `privacy` 关键字。
- 仓库侧：`.gitignore` ≠ 数据边界；密钥不进仓；Agent 用独立工作树。

---

## 4. 事件对照：Claude Code × Grok Build × 同类 IDE

时间窗：约 **2026-07-10 ~ 2026-07-16**（Grok Build 抓包披露与后续响应）。

### 4.1 Grok Build CLI 0.2.93（平面 B 失控典型）

**证据来源**：[cereblab wire-level analysis](https://gist.github.com/cereblab/dc9a40bc26120f4540e4e09b75ffb547)（可复现；含 SHA-256 附件）。

| 发现 | 要点 |
|------|------|
| 平面 A | Agent 读到的文件（含 `.env` 类）进入 `POST /v1/responses`，无脱敏 |
| 平面 B | `POST /v1/storage` 上传整仓 git bundle / tar；与「是否读取」解耦 |
| 体积比 | 12 GB 仓：A ≈ 192 KB，B ≥ 5.10 GiB（约 27800×） |
| 存储落点 | GCS 桶名 `grok-code-session-traces`（海外对象存储） |
| 「Improve the model」 | 关训练 ≠ 关上传；settings 仍可报 `trace_upload_enabled: true` |
| 附带物 | 报告称可扫到仓库外 supplemental（如部分全局配置）；需按版本复核 |

**后续（作者 2026-07-14 更新）**：xAI 服务端关闭 codebase upload（`disable_codebase_upload: true`）；

Musk 公开承诺删除已上传数据（删除完成情况需独立确认）。`/privacy opt-out` 经抓包更像**留存**设置，不是「阻止发送」。

**未证明**：上传物被用于训练；所有账号类型/后续版本行为相同。

### 4.2 Claude Code：本地 Agent vs 云会话

| 模式 | 平面 A | 平面 B | 备注 |
|------|--------|--------|------|
| **本地 CLI / IDE 集成** | 工具读到的内容进 Anthropic（或你配置的）Messages API | 无「默认同等全仓 GCS 旁路」的公开对等物；有遥测/事件管道 | 社区对比文章指出：问题多在不可见标记/遥测，而非整仓静默打包 |
| **Claude Code on the web** | 在 Anthropic 托管 VM 内跑 Agent，再对 API 组上下文 | **显式**克隆 GitHub 仓，或本地 `git bundle` 上传启动云会话（文档披露；有体积回退策略） | 这是「云执行」产品能力，不是隐藏旁路；需用户走 GitHub / bundle 路径 |

官方文档要点（[Claude Code on the web](https://code.claude.com/docs/zh-CN/claude-code-on-the-web)）：

- 未连 GitHub 时，本地仓可打包上传启动云会话；含历史与未提交已跟踪变更；未跟踪文件默认不进包。
- 大仓有 100MB 等回退：全历史 → 当前分支 → 工作树快照。
- ZDR 组织可能无法使用部分云会话能力。

**和 Grok 事件的对比轴**：Claude 云模式把「整仓到云」做成**明示产品路径**；

Grok 0.2.93 把类似能力做成**默认旁路且与任务体积严重脱钩**——合规叙事差在「知情同意 + 默认值」，不在「代码能不能到云」。

### 4.3 Cursor 类 IDE（对照锚点）

公开技术拆解（社区抓包/课程材料，非官方白皮书）：

| 平面 | 常见行为 |
|------|----------|
| A | Chat/Agent：打开文件、选区、`@` 引用、规则文件进入请求；部分模式有片段长度上限 |
| B/C | 代码库索引常以 **embedding** 为主（明文是否长期存取决于 Privacy Mode / 企业策略）；另有遥测、调试包等 |

**选型含义**：Cursor 的争议点多在「索引与隐私模式默认值」，与 Grok「多 GB 明文整仓上 GCS」不是同一量级叙事——但仍须走本文 Step 1–3，不能靠品牌信任跳过。

### 4.4 对照总表

| 维度 | 平面 A：代码进 LLM？ | 平面 B：整仓旁路？ | 「不训练」≈「不上传」？ | 海外落点 |
|------|---------------------|-------------------|-------------------------|----------|
| 任意代码 Agent（能力本质） | **是（按需）** | 产品而定 | 通常否 | API 区域而定 |
| Grok Build 0.2.93 | 是 | **是（默认，抓包证）** | **否** | GCS（美西等） |
| Claude Code 本地 | 是 | 未见对等默认全仓旁路* | 否（训练≠传输） | Anthropic API |
| Claude Code 云 | 是（在 VM 内组上下文） | **是（明示 clone/bundle）** | 视企业 ZDR | Anthropic 云 |
| Cursor（典型） | 是 | 索引/策略型，非 Grok 同款叙事 | Privacy Mode ≠ 无 A | 多厂商路由 |

\*「未见」= 公开抓包叙事下无对等 B；不等于零遥测。以本机抓包为准。

---

## 5. 机制深挖：上下文到底怎么进 LLM

以「本地 Agent 写一个函数」为例（Claude Code / Cursor Agent / Codex 同类）：

![image.png](https://developer.qcloudimg.com/http-save/yehe-9261324/23fe46f7e1b9f5890fc579e8035f873f.png)

要点：

1. **传输单位是「上下文窗口里的 tokens」**，不是「磁盘上的仓库对象」。
2. Agent 越「主动探索」，平面 A 的出域体积越大——这是能力换隐私的连续谱，不是开关。
3. 规则文件（`CLAUDE.md` / `.cursorrules` / Skills）通常每轮或高频注入，属于**长期上下文泄漏面**。
4. 若中间有 **CC Switch / 自建网关**，平面 A 的落点变成网关后的模型厂商；平面 B 仍取决于**原厂 Agent 二进制**是否另开通道。

---

## 6. 给架构师的落地清单

1. **采购问卷强制拆 A/B/C**，要求厂商给出端点、默认值、企业关闭方式、删除 SLA。
2. **敏感仓禁止消费级默认配置**；L2+ 要求可审计的「无平面 B」或私有化。
3. **金丝雀 + 代理**纳入版本准入（升级必测），不要只测「能不能写代码」。
4. **密钥永不进仓**；Agent 工作树与生产凭据隔离。
5. **国内可控链路**：本地 Agent + 国产/私有模型网关，只能压缩平面 A 的管辖权风险，**挡不住**闭源 CLI 自己的平面 B——B 必须靠抓包或换工具。

---

## 7. 来源与边界

| 材料 | 用途 |
|------|------|
| [cereblab Grok Build wire analysis](https://gist.github.com/cereblab/dc9a40bc26120f4540e4e09b75ffb547) | 平面 B 实证 |
| [OurCoders 技术解读](https://ourcoders.com/tech/show/tech-20260712-001-01/) | 双通道叙事与边界声明 |
| [Claude Code on the web 文档](https://code.claude.com/docs/zh-CN/claude-code-on-the-web) | 明示云 bundle/clone |
| 36氪 / 虎嗅等转载 | 舆论与分级建议；技术细节以 gist 为准 |
| Cursor 社区抓包文章 | 平面 A/C 对照；非本案主证据 |

**本文不声称**：某一厂商当前线上版本仍与 0.2.93 行为完全一致；是否「偷代码用于训练」——传输≠训练。

---

## 8. 一句话收束

代码 Agent 的工作原理决定了：**被读进上下文的代码，一定会作为平面 A 传给 LLM**。  
2026-07 海外上传事件教会我们的是：还要单独审计平面 B——**没读过的代码，也可能已经在路上。**

核心观点：代码 Agent 工作依赖「推理上下文通道」——本地读到的文件内容会进入发给 LLM 的请求体。这与「旁路存储通道」是两件事。

AI-IDE网络数据模型：代码有没有当成上下文传给 LLM？

把 AI IDE 想成一家「带翻译的快递公司」，把 LLM 想成「海外的专家顾问」。你电脑上的代码仓库，是「整栋办公楼里的文件柜」。

架构师

人工智能

编程语言

安全

AI代码助手工作时，被读取的代码会进入请求体发送给大模型，这是正常功能所需。但需警惕未经读取的整仓代码被静默上传的风险，如GrokBuild事件所示。密钥文件应避免进入代码仓库，以防意外泄露。选择AI代码工具时，需明确区分必要传输和额外备份功能。

对象存储

DeepSeek

路由

GitHub

Agent

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

AI-IDE网络数据模型：代码有没有当成上下文传给 LLM？-腾讯云开发者社区-腾讯云

AI-IDE网络数据模型：代码有没有当成上下文传给 LLM？

AI-IDE网络数据模型：代码有没有当成上下文传给 LLM？

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐