Una reciente investigación ha puesto en evidencia una práctica cuestionable en la herramienta de asistencia para programación Grok Build, desarrollada por SpaceXAI. Según los hallazgos publicados por la firma de seguridad Cereblab, esta herramienta estaba cargando repositorios de código completos de los usuarios en servidores de Google Cloud sin el consentimiento explícito o la notificación adecuada. Este comportamiento excedía significativamente las prácticas estándar de retención de datos observadas en otras herramientas similares de inteligencia artificial, como Claude Code.

El análisis técnico reveló que el software no solo procesaba los archivos necesarios para la tarea, sino que incluía en sus transferencias documentos que el usuario había restringido explícitamente, así como secretos y credenciales que habían sido eliminados del historial del repositorio. Esta recolección indiscriminada de información sensible ha generado una gran preocupación en la comunidad de seguridad informática, dado el riesgo potencial que implica para la propiedad intelectual y la integridad de los sistemas de los desarrolladores afectados.

Ante la exposición pública de estas acciones, SpaceXAI procedió a desactivar la función de carga automática de bases de código. Investigadores independientes confirmaron que, tras las pruebas realizadas el pasado lunes, los servidores de la compañía comenzaron a devolver una bandera de configuración que indica la desactivación de estas subidas. Por su parte, Elon Musk se pronunció sobre el incidente a través de la red social X, asegurando que toda la información que fue cargada previamente por la herramienta será eliminada de manera definitiva y completa.

El directivo también intentó justificar la retención de datos argumentando que el acceso a esta información resulta útil para las labores de depuración y mejora del sistema, insistiendo en que la configuración de privacidad siempre se respeta. Sin embargo, esta postura ha sido cuestionada por expertos. El doctor Lukasz Olejnik, investigador de seguridad en el King’s College de Londres, calificó el volumen de datos retenidos como excesivo, advirtiendo que el material expuesto podría incluir código fuente propietario, detalles sobre vulnerabilidades de seguridad, información personal sensible y credenciales de acceso a infraestructuras críticas.

La respuesta inicial de SpaceXAI ante las críticas fue señalar la existencia de un comando específico dentro de la interfaz de línea de comandos para gestionar la retención de datos. No obstante, los investigadores de Cereblab aclararon que dicho comando funciona únicamente como un interruptor de sesión y no constituye el mecanismo de control que realmente detuvo la carga masiva de repositorios. Esta discrepancia entre la explicación de la empresa y el funcionamiento técnico real del software ha incrementado las dudas sobre la transparencia y la gestión de la privacidad en las herramientas de IA que interactúan con código fuente.

Este incidente subraya los riesgos inherentes al uso de asistentes de IA en entornos de desarrollo profesional, donde la seguridad del código es fundamental. La industria ahora se enfrenta al desafío de establecer estándares más claros sobre qué datos pueden ser procesados y almacenados por estas herramientas, garantizando que la conveniencia de la automatización no comprometa la seguridad de los proyectos de software ni la privacidad de los desarrolladores que confían en estas plataformas para optimizar su flujo de trabajo.