Il caso di Grok Build è un buon promemoria di quanto i coding agent locali possano essere invasivi se la gestione dei dati non è trasparente. Il CLI grok di xAI ha ricevuto forti critiche quando è emerso che eseguirlo in una directory poteva caricare l’intera directory sui bucket Google Cloud di xAI. Un utente ha riferito di averlo lanciato nella propria home directory e di aver visto caricare chiavi SSH, il database del password manager, documenti, foto e video.
Non c’è stata una spiegazione ufficiale del perché accadesse, ma xAI ha risposto disabilitando la funzione e annunciando la cancellazione dei dati caricati. Poche ore dopo l’azienda ha rilasciato l’intero codebase di Grok Build sotto licenza Apache 2.0, presumibilmente per recuperare la fiducia degli utenti.
Cosa dichiara xAI sulla privacy
Nel thread di annuncio, xAI spiega che la data retention era attiva per default per gli utenti non-ZDR nella beta iniziale, e che in seguito al feedback è stata disabilitata di default a partire dal 12 luglio. L’azienda dichiara di aver cancellato tutti i dati di coding precedentemente conservati e di offrire ora la possibilità di eseguire Grok Build in modalità completamente open source e local-first, con la propria inference. Per chi lavora con questi strumenti, il punto pratico è chiaro: retention di default disattivata e la possibilità di verificare il comportamento leggendo il codice.
Un codebase più grande del previsto
La sorpresa, come nota Simon Willison, è la dimensione: Grok Build contiene circa 844.530 righe di Rust (calcolate escludendo whitespace e commenti), di cui solo il 3% circa risulta vendored. Per confronto, il repository openai/codex conta 950.933 righe di Rust. Gli agent di coding da terminale sono quindi molto più complessi di quanto si potrebbe immaginare.
Il repository, pubblicato con un singolo commit, contiene tra le altre cose i system prompt (con la curiosità che il prompt del subagent contiene l’istruzione di non rivelarne il contenuto, mentre quello principale no), un renderer di diagrammi Mermaid per il terminale, e implementazioni di tool “portate da” altri progetti come Codex e OpenCode, in modo apparentemente conforme alle relative licenze Apache e MIT. Restano anche tracce del codice che caricava tutto su Google Cloud Storage, ora disabilitato: la funzione upload_session_state() restituisce un errore hard-coded.
- Il CLI di Grok caricava intere directory sui bucket cloud di xAI; la funzione è stata disabilitata e i dati conservati cancellati.
- xAI ha rilasciato l’intero codebase sotto Apache 2.0, con retention di default disattivata dal 12 luglio e opzione local-first.
- Il codice è sorprendentemente ampio (circa 844.530 righe di Rust) e include tool portati da altri agent di coding.
Fonte: xai-org/grok-build, now open source — https://simonwillison.net/2026/Jul/15/grok-build/
Hai qualcosa da aggiungere? Unisciti alla discussione.