YC tuyên bố "mã nguồn không rời máy" nhưng lại tải lên mã nguồn, công cụ AI phân tích cục bộ Paxel vừa ra mắt đã bị cộng đồng vạch trần.

Theo giám sát của Động Sát Beating, Y Combinator đã ra mắt công cụ phân tích mã nguồn AI miễn phí mang tên Paxel, tuyên bố rằng mã nguồn "sẽ không bao giờ rời khỏi máy của bạn". Tuy nhiên, chỉ vài giờ sau khi phát hành, cộng đồng bảo mật đã vạch trần quảng cáo sai sự thật về "chạy cục bộ" thông qua phân tích dịch ngược.

Phân tích dịch ngược cho thấy, Paxel thực tế thường xuyên gửi dữ liệu nhạy cảm ra bên ngoài. Nội dung tệp tin mà nhà phát triển đọc, mã nguồn đã sửa đổi, và các prompt được dán vào ô nhập liệu, đều bị tải lên đầu cuối của mô hình ngôn ngữ lớn. Đường dẫn tệp tin cục bộ, lệnh Bash chạy trên terminal, cũng như tên người dùng và email trong cấu hình Git cục bộ, cũng bị truyền đến máy chủ của Y Combinator. Tính năng giám sát lỗi Sentry được bật mặc định, liên tục gửi ra ngoài số dòng mã cục bộ và lịch sử commit Git.

Cộng đồng nhà phát triển chế nhạo rằng cái gọi là phân tích cục bộ chẳng khác nào khóa chặt cửa phòng rồi gửi chìa khóa cho bên thứ ba, và chỉ trích việc quảng cáo "cục bộ hóa" là một hành vi "tẩy trắng quyền riêng tư" thực sự.