xai-org/grok-build

O que é, em uma frase honesta

É o 'chassi' do agente de programação da xAI: uma interface de terminal em tela cheia (com mouse, como um aplicativo) onde a IA lê seu código, edita arquivos, roda comandos e pesquisa na web, parente direto do Claude Code e do Codex CLI. Roda interativo, em modo automático para esteiras de CI, ou embutido em editores; aceita extensões via MCP, plugins e hooks. São cerca de 845 mil linhas de Rust publicadas sob Apache 2.0.

Detalhe revelador: o repositório é um espelho do monorepo interno da xAI e não aceita contribuições externas, é código aberto para leitura e auditoria, não um projeto comunitário. E foi exatamente a impossibilidade de auditar antes que causou o problema que o trouxe até aqui.

Para que serve na prática

Na prática, dois usos. O primeiro é o óbvio: um agente de código no terminal, competente, rápido, que agora pode rodar inteiramente local, sem depender da nuvem da xAI. O segundo uso é o mais valioso para quem lidera: material de auditoria.

Antes do código abrir, pesquisadores flagraram o agente enviando gigabytes que a tarefa não pedia, um caso documentado mediu 5,1 GB em 73 blocos para um bucket chamado grok-code-session-traces, incluindo arquivos que o agente nunca abriu e credenciais em texto puro. O botão 'melhorar o modelo' desligado não mudava nada. Existe até um fork comunitário (thedavidweng/gork-build) que remove a telemetria e a marca.

O repositório é, hoje, a prova concreta do que um agente instalado na máquina do seu time consegue tocar.

Quando faz sentido pra você que lidera

A lição aqui não é 'adote' nem 'fuja', é o checklist que este caso escancarou. Antes de liberar qualquer agente de código na sua empresa, exija por escrito: o que sai da máquina, para onde vai, o que o botão de privacidade realmente desliga, e como se audita isso (tráfego de rede, não promessa de marketing). O incidente provou que a promessa 'nada do seu código é transmitido' era falsa na prática, e a correção veio sem aviso de segurança formal.

Se sua equipe já usou a versão de antes de meados de julho de 2026, trate como vazamento: gire chaves SSH, tokens de nuvem e senhas que estavam no ambiente. E adote a regra geral: agente roda em sandbox, com arquivos sensíveis fora do alcance, preferindo ferramentas auditáveis e locais para código sensível.

Por que está no mapa

Crescimento raro: 23,8 mil stars e 4,5 mil forks em menos de três semanas (criado em 14 de julho de 2026, ainda com commits até 31 de julho). O motor foi o escândalo: em meados de julho a comunidade descobriu os uploads indevidos, um usuário viu o agente sugar chaves SSH, banco do gerenciador de senhas e fotos da pasta pessoal, a xAI matou o upload no servidor, Elon Musk prometeu apagar todos os dados e, em 48 horas, abriu o código como resposta de crise. Simon Willison e a imprensa de tecnologia (The Decoder, DevOps.com, TechTimes) amplificaram.

Está no mapa como aula viva de governança de fornecedor de agente.