Alat pengodean bertenaga kecerdasan buatan (AI) bernama Grok Build yang dikembangkan oleh SpaceXAI terbukti melakukan pengunggahan seluruh basis kode milik pengguna ke penyimpanan awan Google Cloud. Temuan tersebut pertama kali dipublikasikan oleh firma riset keamanan Cereblab pada hari Senin, sebagaimana dilaporkan oleh media teknologi The Register.
Yang membuat situasi semakin memprihatinkan, proses pengunggahan tersebut tidak hanya mencakup berkas yang seharusnya dibuka, tetapi juga file yang secara eksplisit diperintahkan untuk tidak dibuka serta kredensial rahasia yang sebelumnya telah dihapus dari riwayat proyek. Praktik penahanan data ini jauh melampaui kebijakan serupa yang diterapkan oleh perangkat lunak pesaing seperti Claude Code buatan Anthropic.
Kasus ini berawal dari pengujian yang dilakukan Cereblab terhadap antarmuka baris perintah (CLI) Grok Build. Mereka menemukan bahwa alat tersebut mengemas dan mengirimkan repositori kode secara menyeluruh ke server SpaceXAI tanpa transparansi yang memadai kepada pengguna. Dalam ekosistem pengembangan perangkat lunak modern, alat bantu AI seperti ini memang memerlukan konteks kode untuk memberikan saran, namun penyerapan data secara massal tanpa batas merupakan pelanggaran privasi yang fatal.
Biasanya, alat coding AI memproses kode di tingkat lokal atau hanya mengambil cuplikan yang relevan untuk sesi obrolan tertentu. Grok Build, sebaliknya, memilih pendekatan retensi data ekstensif yang menyimpan arsip proyek secara permanen di sisi server. Kebijakan ini berpotensi melanggar perjanjian kerahasiaan (NDA) yang dimiliki pengembang perangkat lunak korporat maupun individu.
Terkait hal tersebut, seorang peneliti keamanan independen dari King’s College London, Dr. Lukasz Olejnik, menegaskan kepada The Verge bahwa volume retensi data yang dilakukan Grok Build tergolong "berlebihan". Menurutnya, informasi yang berisiko terekspos mencakup kode sumber kepemilikan eksklusif, detail kerentanan keamanan, data pribadi, hingga kredensial akses infrastruktur digital.
Bagi komunitas pengembang di Indonesia, insiden ini menjadi peringatan keras terkait kedaulatan data. Banyak startup teknologi lokal dan talenta independen di Tanah Air yang mengandalkan alat coding AI global untuk efisiensi kerja. Jika alat semacam Grok Build digunakan tanpa protokol keamanan yang ketat, rahasia dagang perusahaan rintisan Indonesia dapat dengan mudah bocor ke server luar negeri tanpa sepengetahuan pemiliknya.
Secara regulasi, Indonesia saat ini tengah memperkuat perlindungan data melalui Undang-Undang Pelindungan Data Pribadi (UU PDP). Meski regulasi tersebut lebih berfokus pada data individu, kebocoran kredensial dan infrastruktur sistem dapat berdampak langsung pada keamanan data pengguna akhir di berbagai layanan digital Indonesia. Pengembang lokal perlu lebih waspada memilih alat bantu yang menjanjikan retensi nol secara bawaan.
Di sisi lain, dibandingkan dengan solusi dalam negeri atau regional yang mulai bermunculan, alat AI global kerap kali menempatkan server pengolahan di luar yurisdiksi Indonesia. Hal ini menambah kerumitan jika terjadi sengketa hukum akibat kebocoran kekayaan intelektual. Penggunaan infrastruktur awan lokal sebagai penyangga mungkin menjadi pertimbangan, namun tidak sepenuhnya menyelesaikan akar masalah dari sisi kebijakan penyedia AI.
Menanggapi kehebohan tersebut, Elon Musk selaku orang terdepan di balik SpaceXAI memberikan klarifikasi melalui platform X. Ia menegaskan bahwa seluruh data yang sebelumnya terunggah oleh Grok Build akan "sepenuhnya dan total dihapus". Di postingan terpisah, Musk mengklaim pengaturan privasi perusahaan selalu dihormati, meski ia sempat meminta pengguna mengizinkan retensi data dengan alasan "membantu proses debug masalah".
Kendati demikian, SpaceXAI sebelumnya mencoba meredam isu dengan menyatakan bahwa perintah "/privacy" di dalam CLI dapat digunakan untuk mematikan retensi data sekaligus menghapus data yang telah tersinkronisasi. Cereblab dengan tegas membantah klaim tersebut. Mereka menekankan bahwa fitur "/privacy" hanyalah sakelar retensi per sesi, bukan tombol utama yang memperbaiki kebocoran sistemik ini, sehingga tidak sepatutnya dijadikan rujukan pengendalian.
Sementara itu, uji coba terbaru Cereblab pada Senin menunjukkan bahwa server SpaceXAI kini mengembalikan flag "disable_codebase_upload: true" dan proses unggah basis kode sudah tidak lagi aktif. Meski demikian, kepercayaan pengguna terhadap ekosistem AI coding membutuhkan waktu untuk dipulihkan. Ke depannya, standar audit keamanan untuk alat bantu pengembang AI harus diperketat secara industri.
Tren integrasi AI ke dalam lingkungan pengodean tidak dapat dibendung, tetapi transparansi harus menjadi prasyarat mutlak. Penyedia layanan seperti SpaceXAI, Anthropic, maupun Microsoft (GitHub Copilot) dituntut untuk menerapkan kebijakan akses minimal dan enkripsi ujung-ke-ujung secara default. Tanpa langkah proaktif, insiden serupa dipastikan akan terulang dan mengancam stabilitas keamanan siber global.