YCは「コードは端末から離さない」と主張しながらソースコードをアップロードし、ローカルAI分析ツールPaxelがリリース直後にコミュニティから見破られた。

動察 Beating の監視によると、Y Combinator は無料の AI コード分析ツール Paxel を発表し、「コードが決してあなたのマシンから離れることはない」と宣伝した。しかし、公開から数時間後、セキュリティコミュニティがリバースエンジニアリング分析を通じて、「ローカル実行」という虚偽の宣伝を暴いた。

リバースエンジニアリング分析によると、Paxel は実際には頻繁に外部へ機密データを送信していた。開発者が読み取ったファイルの内容、修正したコード、入力ボックスに貼り付けたプロンプトは、すべて大規模言語モデルのエージェント側にアップロードされる。ローカルファイルパス、ターミナルで実行された Bash コマンド、およびローカル Git 設定内のユーザー名とメールアドレスも、Y Combinator のサーバーに送信される。Sentry エラーモニタリングはデフォルトで有効になっており、ローカルコードの行数や Git コミット履歴を継続的に外部に送信している。

開発者コミュニティは、いわゆるローカル分析は、ドアをしっかりとロックした後に鍵を第三者に送るのと同じだと嘲笑し、ローカリゼーションの宣伝はまさに「プライバシー・ホワイトウォッシング」であると批判している。