25岁的马尔科·埃莱兹（Marko Elez）是埃隆·马斯克政府效率部门（DOGE）的一名员工，他被授予访问美国社会保障局、财政部、司法部以及国土安全部的敏感数据库的权限。因此，得知埃莱兹先生上周末无意中公布了一个私钥，允许任何人直接与马斯克的人工智能公司xAI开发的40多个大型语言模型（LLM）进行交互，所有美国人都应该感到安心。
图片：Shutterstock，@sdx15。
7月13日，Elez先生向GitHub提交了一个名为“agent.py”的代码脚本，其中包含xAI的私有应用程序编程接口（API）密钥。该私钥的泄露事件最早是由GitGuardian公司发现的，该公司专门检测和修复公共和专有环境中泄露的机密信息。GitGuardian的系统会持续扫描GitHub和其他代码库，查找泄露的API密钥，并自动向受影响的用户发出警报。
安全咨询公司 Seralys 的“首席黑客官” Philippe Caturegli表示，泄露的 API 密钥允许访问 xAI 使用的至少 52 个不同的 LLM。列表中最新的 LLM 名为“grok-4-0709”，创建于 2025 年 7 月 9 日。
Grok是由 xAI 开发并集成到Twitter/X 的生成式 AI 聊天机器人，它依赖于这些以及其他 LLM（在发布前向 Grok 查询显示，Grok 目前使用的是 Grok-3，该版本于 2025 年 2 月推出）。今天早些时候，xAI宣布美国国防部将开始使用 Grok，这是 一份价值高达 2 亿美元的合同的一部分。这份合同是在 Grok 开始发表反犹太言论并援引阿道夫·希特勒的言论后不到一周签订的。
Elez 先生没有回应置评请求。Caturegli 通过电子邮件通知 Elez 后不久，包含 xAI 私钥的代码库就被删除了。不过，Caturegli 表示，泄露的 API 密钥仍然有效，尚未被撤销。
Caturegli 告诉 KrebsOnSecurity：“如果开发人员不能保证 API 密钥的私密性，就会引发人们对他们如何在幕后处理更为敏感的政府信息的质疑。”
在加入 DOGE 之前， Marko Elez曾在马斯克的多家公司工作。他的 DOGE 职业生涯始于美国财政部，一场围绕 DOGE 访问财政部数据库的法律纠纷表明，Elez 发送未加密的个人信息 ，违反了该机构的政策。
埃莱兹还在财政部任职时，就因《华尔街日报》将他与宣扬种族主义和优生学的社交媒体帖子联系起来而辞职。当副总裁JD·万斯游说恢复埃莱兹的职位时，特朗普总统同意了，马斯克也恢复了他的职位。
自从重新受雇为DOGE员工以来，埃莱兹就被授予访问一个又一个联邦机构数据库的权限。TechCrunch 在2025年2月报道称，他当时在社会保障局工作。今年3月， Business Insider 发现埃莱兹隶属于DOGE下属的一个分遣队，隶属于劳工部。
Marko Elez，照片来自社交媒体资料。
今年4月， 《纽约时报》报道称，埃莱兹曾在美国海关和边境保护局、移民和海关执法局（ICE）以及国土安全部任职。 《华盛顿邮报》随后报道称，埃莱兹在担任司法部总检察长（DOGE）顾问期间，曾获得移民审查执行办公室（EACS）法院和上诉系统（EACS）的访问权限。
Elez 并不是第一个发布 xAI 内部 API 密钥的 DOGE 员工：今年 5 月，KrebsOnSecurity 详细介绍了另一名 DOGE 员工如何在 GitHub 上泄露了两个月的私人 xAI 密钥，暴露了为处理马斯克公司（包括 SpaceX、Tesla 和 Twitter/X）的内部数据而定制的 LLM。
卡图雷格利说，如果一个人连基本的运营安全都无法管理，那么很难相信他能访问政府机密系统。
“一次泄露是错误，”他说。“但当同一类型的敏感密钥一次又一次地被泄露时，这不仅仅是运气不好，而是更深层次的疏忽和安全文化崩溃的标志。”
原文： https://krebsonsecurity.com/2025/07/doge-denizen-marko-elez-leaked-api-key-for-xai/