La empresa de inteligencia artificial de Elon Musk, xAI, enfrentó un incidente de seguridad con su herramienta de línea de comandos Grok Build, que subía directorios completos de los usuarios a servidores de Google Cloud sin advertirlo. Entre los datos enviados figuraban claves SSH y bases de datos de contraseñas, según reportes de usuarios que analizaron el comportamiento del programa. Tras la reacción negativa, Musk prometió borrar todos los datos cargados y la compañía publicó el código fuente completo de la herramienta bajo licencia abierta.

Grok Build es una utilidad que funciona desde la terminal, la interfaz de texto donde los programadores escriben comandos directamente en su computadora. El problema, según lo que trascendió, es que la herramienta cargaba de forma silenciosa el contenido de carpetas enteras hacia la nube, sin que el usuario tuviera claro qué información salía de su equipo.

Qué datos quedaron expuestos

Un usuario documentó en X que el programa transfería material sensible a los servidores de Google Cloud. Las claves SSH son credenciales que permiten acceder de forma remota a servidores y sistemas; si caen en manos equivocadas, pueden abrir la puerta a cuentas e infraestructura de una empresa o una persona. A eso se sumaban archivos con bases de datos de contraseñas, uno de los tipos de información más delicados que puede almacenar un desarrollador.

La exposición de este tipo de credenciales convierte un fallo de diseño en un riesgo de seguridad concreto. No se trata de metadatos anónimos, sino de las llaves que protegen el acceso a los sistemas de trabajo de quienes probaron la herramienta.

La respuesta de Musk y la apertura del código

Ante las críticas, Elon Musk anunció que se eliminarían todos los datos de usuario que habían sido cargados. Poco después, xAI dio un paso adicional: liberar la herramienta como software de código abierto. La compañía publicó el código fuente completo en GitHub bajo licencia Apache 2.0, que permite a cualquiera revisar, usar y modificar el programa.

El proyecto suma 844.530 líneas de código escritas en Rust, un lenguaje de programación valorado por su seguridad de memoria y su rendimiento. Abrir el código permite que la comunidad audite directamente cómo se comporta la herramienta y verifique qué información recopila, algo que resultaba imposible cuando el programa era cerrado. La compañía detalló los motivos de la decisión en su anuncio oficial.

La jugada tiene doble lectura. Por un lado, la transparencia del código abierto es la respuesta más creíble frente a un problema de confianza: quien dude de qué hace el programa ahora puede leerlo. Por otro, no borra el hecho de que las credenciales ya viajaron a servidores externos antes de que se detectara el problema.

Un patrón de riesgo en las herramientas para programadores

El episodio ilustra un riesgo creciente a medida que las herramientas de IA se integran en el flujo de trabajo de los desarrolladores. Los asistentes que operan con acceso a archivos locales pueden aportar comodidad, pero también amplían la superficie de exposición si no queda claro qué datos envían y hacia dónde. La telemetría silenciosa —el envío automático de información en segundo plano— es aceptable para estadísticas anónimas, pero cruza una línea cuando incluye secretos como contraseñas o llaves de acceso.

Para xAI, que compite de frente con OpenAI, Google y Anthropic en la carrera por captar programadores, un incidente de este tipo golpea justo donde más importa: la confianza de una audiencia técnica que sabe leer el código y no perdona los descuidos con sus credenciales. La liberación bajo Apache 2.0 servirá como prueba de fuego para medir si esa confianza se recupera.