xAIは2026年7月15日(現地時間)、コマンドラインインターフェース (CLI) ツール「Grok (グロック)」に、ユーザーディレクトリ内のデータをGoogle Cloud (グーグルクラウド) のバケットへ無断でアップロードする問題が発覚したと発表した。同社はこの事態を認め、問題の機能を無効化するとともに、アップロードされた全ユーザーデータの削除を表明。同日、Grok Build (グロックビルド) の全コードベースをApache 2.0 (アパッチ 2.0) ライセンスの下でオープンソース化した。
この問題は、Grokコマンドを実行したディレクトリ内のSSHキー、パスワードマネージャーデータベース、ドキュメント、写真、ビデオなど、あらゆるデータがxAIのグーグルクラウドバケットに送信されていたとの報告によって明らかになった。
xAIはユーザーからのフィードバックを受けて対応した。予防措置として、これまでSpaceXAI (スペースエックスエーアイ) とxAIにアップロードされた全てのユーザーデータは完全に削除されると声明を出している。データ保持機能はデフォルトで無効化され、以前保持されていた全てのコーディングデータも削除される方針が示された。Grok Buildは2026年7月12日より、全てのユーザーに対してデフォルトのデータ保持を無効化している。
同社は信頼回復を図るため、Grok Buildのコードベース全体をオープンソースとして公開した。これにより、Grok Buildはローカル環境での実行や独自の推論を利用した運用も可能になる。コードベースは844,530行のRust (ラスト) コードで構成されており、そのうち約3%がベンダー提供のものとみられる。コード分析からは、xai-grok-agent/templates/prompt.mdにメインシステムプロンプト、xai-grok-agent/templates/subagent_prompt.mdにサブエージェントプロンプトが含まれていることが確認された。また、xai-grok-markdown/src/mermaid.rsはMermaid (マーメイド) ダイアグラムのターミナルレンダラーとして機能する。
xai-grok-tools/src/implementationsには、Codex (コーデックス) やOpenCode (オープンコード) のツール実装（apply_patch、grep_files、list_dir、read_dir、bash、edit、glob、grep、read、skill、todowrite、writeなど）が移植されている。グーグルクラウドへのアップロードに使用されていたコードの残骸も確認されているが、これらは現在無効化されており、upload/trace.rs内の関数はハードコードされたsession_state_upload_unavailableエラーを返す設定となっている。
参考: Simon Willison’s Weblog — 2026年7月16日 08:59 (JST)