A xAI acabou de publicar no GitHub o código-fonte completo do Grok-Build, sua ferramenta de linha de comando, depois de uma reação pesada da comunidade de segurança e de desenvolvedores aos relatos de que o software fazia uploads silenciosos de diretórios inteiros e de repositórios Git completos, com histórico de commits e tudo, para um bucket no Google Cloud Storage controlado pela própria xAI. Pelas análises feitas por pesquisadores e usuários que observaram o comportamento do programa, o problema ia muito além do que seria necessário para executar tarefas pontuais. Em um dos testes que vieram a público, o Grok-Build teria enviado 5,1 GB de dados para uma tarefa que precisava de só 192 KB, algo em torno de 27,8 mil vezes mais do que o necessário.
O caso ficou mais sério porque, segundo esses mesmos pesquisadores e usuários que examinaram o programa, os uploads teriam incluído arquivos altamente sensíveis guardados nas pastas dos usuários, entre eles chaves SSH, bancos de senhas, chaves de API e outras credenciais. Na prática, qualquer dado armazenado nos diretórios sincronizados podia acabar sendo transmitido aos servidores da xAI. E isso, por si só, já abre um risco considerável de segurança e privacidade.
As críticas também bateram em outro ponto: os controles anunciados pela xAI não estariam funcionando do jeito que muita gente imaginava. Houve relatos de usuários dizendo que o Grok-Build fazia upload de dados mesmo quando recebia instruções para não ler determinados arquivos, e a opção “Improve the model” também não teria bloqueado a transmissão. Isso entra em choque com a mensagem da xAI de que nenhum dado da base de código era enviado aos seus servidores durante a sessão.
Depois da repercussão, Elon Musk disse publicamente que todos os dados de usuários enviados antes seriam apagados, e a xAI desligou o recurso de upload por meio de uma mudança feita do lado do servidor. Na prática, os usuários não precisaram instalar nenhuma atualização para fazer esse comportamento parar. Junto da resposta pública, a empresa também acrescentou um comando “/privacy”, criado para desativar a retenção e apagar dados sincronizados anteriormente. A xAI afirmou ainda que clientes corporativos com acordos de retenção zero não teriam sido afetados e disse que o armazenamento está desativado por padrão desde 12 de julho. Mesmo assim, isso não resolve a preocupação de quem rodou versões anteriores da ferramenta, e especialistas seguem recomendando que usuários potencialmente afetados façam a rotação de credenciais, trocando chaves, senhas e tokens que possam ter sido expostos.
A abertura do código foi ampla. De acordo com o repositório publicado pela xAI no GitHub, a empresa liberou 844.530 linhas em Rust sob licença Apache 2.0, o que permite uma revisão independente do estado atual do Grok-Build. Do ponto de vista da empresa, a medida deve aumentar a transparência e facilitar auditorias externas. Ainda assim, pesquisadores chamaram atenção para um detalhe: o repositório no GitHub foi publicado como um único commit. Isso impede a visualização do histórico completo de desenvolvimento e torna mais difícil entender quando certas decisões foram tomadas ou depois alteradas. Em outras palavras, o código aberto ajuda a inspecionar o que existe agora, mas não tira as dúvidas sobre o que versões anteriores fizeram com os dados dos usuários.
