Grok Build estaba subiendo silenciosamente tu código completo a la nube. xAI lo ha desactivado.
Investigadores descubrieron que la nueva herramienta de codificación de xAI enviaba mucho más data a sus servidores de lo que los usuarios sabían, incluyendo archivos que habían excluido explícitamente y credenciales que ya habían eliminado.
Puntos clave
- Grok Build, el asistente de codificación con IA de xAI, estaba subiendo repositorios de código completos a Google Cloud sin consentimiento claro del usuario, según descubrieron investigadores en mayo de 2025.
- Las descargas incluían archivos que los usuarios habían indicado que el programa ignorara, además de secretos ya eliminados del historial del proyecto.
- A partir del lunes, los servidores de xAI devuelven una bandera que desactiva las descargas de base de código, y las transferencias se han detenido.
- Elon Musk publicó que todos los datos cargados anteriormente serán "completamente y totalmente eliminados".
- Un investigador de seguridad independiente calificó la retención de datos como "excesiva", señalando que podría exponer código propietario y contraseñas.
Grok Build es el asistente de codificación de línea de comandos de xAI, una herramienta para desarrolladores que instalas localmente y usas para escribir y editar software con ayuda de IA. Investigadores de Cereblab publicaron hallazgos esta semana mostrando que la herramienta estaba empaquetando carpetas de proyecto completas y enviándolas al almacenamiento de Google Cloud antes de cada interacción con IA.
Lo que alarmó a los expertos de seguridad fue el detalle: las descargas incluían archivos que los usuarios habían indicado específicamente que la herramienta no abriera, y credenciales que los desarrolladores ya habían eliminado de su historial de proyecto. Herramientas similares, incluyendo Claude Code de Anthropic, no recopilan ni de cerca esta cantidad de datos.
Como informó primero The Verge, el investigador de seguridad independiente Dr. Lukasz Olejnik de King's College London confirmó que la cantidad de datos era "excesiva". Lo que está en riesgo podría incluir código fuente propietario, detalles sobre debilidades de seguridad, datos personales, detalles de infraestructura y credenciales de acceso. Para la mayoría de los desarrolladores, esos son exactamente los archivos que nunca querrías que un tercero tuviera.
¿Deberían preocuparse los desarrolladores por los datos ya cargados?
Sí, pero xAI dice que está actuando rápidamente. Elon Musk publicó en X que todos los datos que Grok Build recopiló anteriormente serán "completamente y totalmente eliminados". Las descargas ya se han detenido: Cereblab confirmó que los servidores de xAI ahora envían una señal indicando a la herramienta que no cargue bases de código, y sus pruebas muestran que la transferencia ya no se ejecuta.
La respuesta inicial de xAI dirigió a los usuarios hacia un comando llamado /privacy dentro de la herramienta, sugiriendo que detendría la retención de datos. Cereblab replicó. El comando /privacy solo activa la retención para una única sesión. No fue la solución que detuvo las descargas masivas.
Musk también publicó que "los ajustes de privacidad siempre se respetan", mientras que por separado pedía a los usuarios que permitieran a xAI mantener sus datos para ayudar con la depuración. Esa combinación pareció contradictoria para algunos observadores.
Nuestra historia anterior sobre costos de codificación con IA, publicada el 13 de julio de 2026, señaló que estas herramientas ya son lo suficientemente costosas como para atraer escrutinio ejecutivo. Suma una exposición de datos inesperada a esa cuenta y el caso comercial se vuelve más difícil de defender.
Si has usado Grok Build en algún proyecto que contenga contraseñas o claves de API (códigos que otorgan acceso a servicios externos), trata esas credenciales como potencialmente comprometidas. Rota cualquier secreto que estuviera en esos repositorios. Toma minutos y elimina el riesgo.
