Grok Build xAI Buka Sumber Terbuka Setelah Skandal Privasi: Sepenuhnya Lokal dan 844 Ribu Baris Rust
xAI resmi membuka sumber Grok Build, tools coding agent berbasis CLI miliknya, pada 15 Juli 2026. Keputusan ini datang hanya beberapa hari setelah peneliti keamanan menemukan bahwa Grok Build diam-diam mengunggah seluruh repositori Git developer — lengkap dengan kunci API, kata sandi, dan riwayat commit — ke penyimpanan cloud xAI, tanpa persetujuan dan tanpa pengumuman.
Apa Itu Grok Build
Grok Build adalah agent coding berbasis terminal yang dipanggil melalui perintah xai build. Tools ini bisa membaca dan mengedit codebase, menjalankan perintah shell, mencari di web, dan mengelola tugas jangka panjang. Tersedia dalam mode interaktif, mode headless untuk scripting dan CI, serta bisa disematkan di editor melalui Agent Client Protocol (ACP).
Grok Build pertama kali dirilis dalam versi beta pada 14 Mei 2026 untuk pelanggan SuperGrok dan X Premium Plus. Saat itu tools ini menggunakan model grok-build-3. Sejak open source, Grok Build kini mengincar Grok 4.5.
Penemuan cereblab: 5 GB per Sesi
Puncak ketegangan terjadi pada 13 Juli 2026. Seorang peneliti keamanan dengan handle cereblab menjalankan Grok Build CLI versi 0.2.93 melalui mitmproxy — tools audit jaringan open source — dan mempublikasikan temuannya di GitHub Gist publik.
Temuan utamanya: pada repositori uji berukuran 12 GB, Grok Build mengunggah sekitar 5,10 gigabyte data ke penyimpanan Google Cloud Storage melalui endpoint POST /v1/storage. Pengunggahan itu terjadi dalam 73 blok, masing-masing sekitar 75 MB, dan semuanya mengembalikan HTTP 200.
Sebagai perbandingan, channel model-turn yang benar-benar digunakan untuk menjawab pertanyaan coding hanya memindahkan sekitar 192 KB — selisih sekitar 27.800 kali lebih kecil dari apa yang benar-benar dikirim.
Temuan lain yang lebih mengkhawatirkan: perutean /v1/settings terus mengembalikan trace_upload_enabled: true bahkan setelah pengguna menonaktifkan pengaturan “Improve the model” — kontrol privasi utama di antarmuka Grok Build. Toggle itu sama sekali tidak menghentikan pengunggahan.
Yang lebih parah, cereblab menanam marker khusus di dalam repositori uji, termasuk di file yang secara eksplisit dilarang dibaca oleh agent. Marker itu tetap muncul utuh di traffic yang ditangkap — artinya pengunggahan tidak terbatas pada file yang benar-benar dibuka agent, melainkan mencakup seluruh direktori yang ditrack Git.
Data disimpan di bucket Google Cloud Storage bernama grok-code-session-traces, di bawah path gs://grok-code-session-traces/repo_changes_dedup/v2/…. Baik bucket maupun perilaku upload itu tidak pernah disebutkan di dokumentasi atau panduan cepat Grok Build.
Dampak: Rahasia Committed Ikut Terangkut
Format bundle Git yang dikirim Grok Build memperburuk risiko. Bundle Git adalah representasi single-file dari seluruh riwayat objek repositori — setiap commit, setiap versi setiap file, termasuk rahasia yang pernah di-commit dan kemudian dihapus dari working tree. Menghapus file dari repositori tidak menghilangkan isinya dari bundle jika pernah di-commit.
Artinya, developer yang pernah menyimpan kunci API atau kredensial cloud di repositori Git — lalu menghapusnya — tetap berisiko. Isi itu mungkin sudah terkirim ke cloud xAI sebelum penghapusan dilakukan.
Elon Musk merespons temuan itu dengan menjanjikan penghapusan penuh semua data yang sudah diunggah. xAI menonaktifkan fitur upload pada 12 Juli 2026 dan mematikan retensi data secara default untuk pengguna Grok Build mulai hari yang sama. Server-side upload berhenti pada 13 Juli 2026 setelah versi 0.2.93 yang sama berhenti membuat permintaan penyimpanan.
Open Source Sebagai Respons
Pada 15 Juli 2026, xAI mempublikasikan seluruh kode sumber Grok Build di GitHub (xai-org/grok-build) bajo lisensi Apache 2.0. codebase ini mencakup sekitar 844.530 baris kode Rust, mencakup agent loop, tools, antarmuka terminal, dan sistem ekstensi untuk plugin dan subagent. Remnant kode upload masih ada di basis kode tapi sudah dinonaktifkan.
Dengan membuka sumber, xAI mengklaim ingin memberikan transparansi penuh. Grok Build kini bisa dijalankan sepenuhnya secara lokal — tanpa koneksi cloud sama sekali. Ini merupakan perubahan besar dari model awal yang mengharuskan semua pemrosesan melalui server xAI.
Reaksi Developer
Temuan ini langsung viral di Hacker News, mencapai 584 poin dan dibahas di puluhan sumber. Banyak developer menyatakan kekhawatiran bahwa tools AI coding yangrequire akses ke seluruh filesystem — seperti Grok Build dan Claude Code — memiliki risiko inheren terhadap kebocoran data jika tidak dirancang dengan sangat hati-hati.
Seorang commenter di Hacker News menulis bahwa “baik Grok maupun Claude Code adalah malware” karena model bisnis mereka pada dasarnya adalah mengekstrak data developer. Yang lain menghargai pendekatan open source karena memungkinkan komunitas mengaudit perilaku sebenarnya dari tools yang mereka jalankan di sistem mereka.
Checklist untuk Developer yang Pernah Pakai Grok Build
Jika kamu pernah menjalankan Grok Build CLI sebelum 13 Juli 2026 di direktori yang berisi repositori Git:
- Rotasi semua kredensial yang pernah di-commit di repositori itu — termasuk kunci API, token cloud, dan kata sandi database. Anggap saja sudah terekspos.
- Periksa commit history untuk file yang mungkin pernah mengandung rahasia, meskipun sudah dihapus dari working tree.
- Tidak ada tindakan untuk saat ini jika hanya menggunakan Grok Build setelah 13 Juli 2026 — upload sudah dinonaktifkan sejak hari itu.
- xAI menyatakan semua data yang diunggah sebelum 12 Juli akan dihapus secara penuh.
Spektrum Legal
Kasus ini menarik perhatian regulator. The Register melaporkan bahwa belum adanasihat keamanan resmi (security advisory) yang diterbitkan xAI terkait insiden ini. Pengacara privasi yang diwawancarai berbagai publikasi menyebut bahwa pengunggahan data tanpa persetujuan yang jelas berpotensi melanggar beberapa yurisdiksi, termasuk GDPR di Uni Eropa dan berbagai undang-undang perlindungan data negara bagian di Amerika Serikat.
xAI sendiri belum memberikan komentar resmi terkait potensi konsekuensi hukum dari temuan ini.
Momen Penting untuk AI Coding Agent
Skandal Grok Build menjadi pengingat bahwa tools AI yang memiliki akses luas ke sistem developer membawa risiko keamanan yang substansial. Berbeda dengan chatbot AI biasa, coding agent seperti Grok Build, Claude Code, dan GitHub Copilot dirancang untuk membaca, menulis, dan mengeksekusi kode — yang berarti potensi damage jika disalahgunakan atau dikonfigurasi salah sangat besar.
Keputusan xAI untuk membuka sumber Grok Build bisa dilihat sebagai langkah strategis untuk membangun kembali kepercayaan, sekaligus memungkinkan komunitas security worldwide mengaudit dan memverifikasi bahwa tidak ada pintu belakang atau perilaku tidak terduga lainnya. Namun banyak yang berpendapat bahwa masalah kepercayaan tidak bisa diselesaikan hanya dengan membuka sumber — transparansi dalam praktik pengumpulan data dan notice yang jelas kepada pengguna sama pentingnya.
Sumber
- The Decoder — “xAI open-sources Grok-Build on GitHub after massive data breach” (16 Juli 2026)
- TechTimes — “Grok Build Shipped Entire Codebases to xAI Cloud; Privacy Toggle Did Nothing” (14 Juli 2026)
- DevelopersDigest — “xAI Open-Sources Grok Build After Data Exfiltration Scandal” (3 hari lalu)
- The Register — “Musk promises purge after Grok Build caught sending entire repos to the cloud” (14 Juli 2026)
- GitHub — xai-org/grok-build (15 Juli 2026)
- AI Weekly — “xAI Open-Sources Grok Build CLI in Rust, Resets User Limits” (3 hari lalu)
