Introducción

Una investigación independiente ha generado preocupación en la comunidad de desarrollo de software tras revelar que la herramienta de línea de comandos (CLI) de Grok, el asistente de inteligencia artificial de xAI, habría estado enviando repositorios completos de Git a un almacenamiento en la nube, incluyendo potencialmente código privado, credenciales y otros datos sensibles.

Aunque el problema habría sido mitigado mediante un cambio en el servidor, hasta el momento xAI no ha publicado un comunicado oficial aclarando el alcance del incidente, el tiempo de retención de la información o si los datos recopilados serán eliminados.

¿Qué ocurrió?

De acuerdo con el análisis realizado por un investigador de seguridad, la CLI de Grok no solo transmitía los archivos necesarios para responder a una consulta de programación, sino que capturaba el repositorio completo desde el que era ejecutada.

En una prueba realizada con un repositorio de aproximadamente 12 GB, la herramienta llegó a transferir 5.1 GB de información al bucket de Google Cloud denominado:

grok-code-session-traces

Lo llamativo es que la tarea que estaba realizando únicamente necesitaba alrededor de 192 KB de código para generar la respuesta, lo que sugiere que la cantidad de información enviada era muy superior a la estrictamente necesaria.

El parámetro oculto

Un día después de que el investigador publicara su análisis del tráfico de red, el comportamiento cambió mediante un parámetro oculto en el servidor:

disable_codebase_upload: true

Este ajuste habría detenido las subidas masivas de código.

Sin embargo, uno de los aspectos más preocupantes del informe es que la opción disponible para que el usuario rechazara el envío de datos —supuestamente utilizada para mejorar el modelo— no impedía realmente que el repositorio siguiera siendo transmitido.

¿Qué información pudo verse afectada?

Si las conclusiones del análisis son correctas, podrían haberse enviado:

• Repositorios privados completos.
• Código fuente propietario.
• Archivos de configuración.
• Claves API.
• Tokens de acceso.
• Secretos almacenados dentro del proyecto.
• Historial y estructura completa del repositorio.

Esto incrementa el riesgo para empresas y desarrolladores que trabajan con información confidencial.

Falta de información oficial

Hasta ahora, xAI no ha explicado públicamente:

• Cuántos usuarios fueron afectados.
• Durante cuánto tiempo ocurrió este comportamiento.
• Qué datos fueron almacenados.
• Cuánto tiempo permanecerán en sus servidores.
• Si los repositorios ya recopilados serán eliminados.

La ausencia de información oficial dificulta evaluar el verdadero impacto para quienes utilizaron la herramienta sobre proyectos privados.

Una lección para el uso de agentes de IA

Este caso pone de manifiesto un aspecto cada vez más importante en el desarrollo asistido por inteligencia artificial: no basta con confiar en las opciones de privacidad mostradas por la aplicación.

Cuando se trabaja con código propietario o información sensible, resulta fundamental verificar qué datos se transmiten realmente por la red y comprender cómo cada herramienta gestiona esa información.

La creciente adopción de asistentes de programación basados en IA hace que la transparencia sobre la recopilación, el almacenamiento y la eliminación de datos sea un elemento clave para mantener la confianza de desarrolladores y empresas.

Conclusión

Si bien aún falta una confirmación oficial por parte de xAI, el reporte ha reabierto el debate sobre la privacidad en las herramientas de desarrollo impulsadas por inteligencia artificial. Para organizaciones que manejan propiedad intelectual o información crítica, conocer exactamente qué abandona su infraestructura puede ser tan importante como la calidad de las respuestas que ofrece el modelo.

La situación también recuerda la importancia de revisar periódicamente las políticas de privacidad, monitorear el tráfico de red de las herramientas utilizadas y evitar asumir que una opción de configuración garantiza por sí sola la protección de datos confidenciales.