xAI פותחת את הקוד של Grok Build — אחרי שנתפס מדליף repos ל-bucket בענן

xAI הפכה את Grok Build, ה-agent שלה ל-coding מבוסס terminal, ל-open-source תחת רישיון Apache 2.0 — מהלך שהונע ישירות מחשיפת אבטחה. חוקר גילה שהכלי העלה בשקט מאגרי קוד שלמים של מפתחים, כולל חומר רגיש כמו מפתחות SSH, ל-bucket אחסון של Google Cloud ללא הסכמת המשתמש וללא תיעוד. xAI תיקנה את התנהגות ה-exfiltration הלא-מתועדת של הנתונים ושחררה את קוד המקור כדי להחזיר שקיפות ולבנות מחדש אמון.

התקרית היא כניסה בולטת בשבוע עמוס בסיפורי cybersecurity סביב AI — היא מגיעה לצד חשיפת ההתקפה האוטונומית של Hugging Face וחוקרים שהדגימו גילוי exploit בסיוע LLM. היא מדגישה את הסיכון הספציפי של agents ל-coding שפועלים עם גישה רחבה למערכת הקבצים: agent שקורא repo שלם כדי לספק הקשר נמצא במרחק שינוי הגדרה אחד מלהדליף אותו. הפיכה ל-open-source מאפשרת לקהילה לבצע audit על מה בדיוק ה-agent שולח ולאן.

התזמון חופף למומנטום נוסף של xAI — Elon Musk הכריז ש'Grok for Excel חי מעכשיו' ב-20 ביולי (12,000+ לייקים), ומפת הדרכים של xAI ממשיכה להצית ספקולציות סביב Grok 4.6. הפיכה ל-open-source תחת Apache 2.0 גם מיישרת את xAI, לפחות בכלי הזה, עם מומנטום המודלים הפתוחים ששולט בשבוע.

הסתייגויות: הפיכה ל-open-source אחרי פריצה היא בחלקה ניהול נזקים, והיא לא מבטלת נתונים שאולי כבר נאספו. החומרה תלויה בכמה משתמשים הריצו את הגרסה הפגועה ומה הועלה. הקוראים כדאי שיעקבו אחרי חשיפת ההיקף של xAI (כמה repos, מה נשמר), אחרי audits קהילתיים על הקוד ששוחרר, ואחרי השאלה אם ה-agents ל-coding של ספקים אחרים יעמדו בביקורת דומה על התנהגות איסוף ההקשר שלהם.