Grok Build sur GitHub : l'agent de code de xAI

Faites exploser le trafic de votre site webEn savoir plus

Huit cent quarante-quatre mille lignes de Rust. C’est la taille du code de Grok Build, l’agent de programmation de xAI rendu public le 15 juillet 2026 (Simon Willison, juillet 2026). Quatre mois plus tard, le dépôt réunit environ 27 700 étoiles et se classe troisième des dépôts GitHub consacrés à Grok. Son histoire est pourtant moins glorieuse que son score : l’ouverture du code a suivi de deux jours la découverte d’envois massifs de fichiers d’utilisateurs vers les serveurs de l’éditeur. Pour une entreprise qui confie son code à un agent, c’est un cas d’école.

L’essentiel : Grok Build est l’agent de code en terminal de xAI, publié sous licence Apache 2.0 le 15 juillet 2026 après la révélation d’envois de dépôts entiers vers un stockage cloud. Avec environ 27 700 étoiles en novembre 2026, c’est une source de transparence précieuse, pas un projet communautaire : xAI n’accepte aucune contribution externe.

Temps de lecture : 10 min

Mis à jour le 4 novembre 2026

Qu’est-ce que le dépôt grok-build de xAI ?

grok-build est le dépôt GitHub qui contient le code source complet de Grok Build, l’agent de programmation en terminal de xAI, publié sous licence Apache 2.0 le 15 juillet 2026. Il expose la boucle d’agent, les outils d’édition de fichiers et d’exécution de commandes, et le système d’extensions qui alimentent l’offre de code de Grok.

Un harnais d’agent complet

Le code couvre la boucle de décision de l’agent, les outils terminal, édition et recherche, une interface plein écran pilotable à la souris, et un système d’extensions qui gère skills, plugins, hooks, sous-agents et serveurs MCP. On peut le compiler localement et le relier à un point d’inférence auto-hébergé, ce qui ouvre la voie à un usage avec un autre modèle que Grok.

Le tout tient en 844 530 lignes de Rust, hors commentaires et lignes vides, dont environ 3 % de code tiers intégré (Simon Willison, juillet 2026). À titre de comparaison, le dépôt de l’agent Codex d’OpenAI compte 950 933 lignes de Rust selon le même comptage.

Des emprunts assumés à Codex et OpenCode

Le répertoire des outils contient des implémentations reprises de Codex et d’OpenCode, deux agents concurrents, signalées dans un fichier de mentions des licences tierces. Le code s’organise en modules distincts pour l’interface, le moteur d’agent, les outils et la gestion de l’espace de travail, avec un rendu de diagrammes directement dans le terminal.

Ce recyclage n’a rien d’anormal dans l’open source, mais il dit une chose : en 2026, les harnais d’agents de code convergent. Nous l’avions observé dès l’été dans notre panorama des dépôts GitHub les plus étoilés de juillet 2026, où grok-build dominait déjà les semaines 29 et 30.

Pourquoi xAI a-t-il ouvert le code de Grok Build ?

xAI a ouvert Grok Build deux jours après la révélation d’un canal d’envoi non documenté qui transférait des répertoires entiers d’utilisateurs vers un stockage cloud de l’éditeur. L’ouverture du code, le 15 juillet 2026, a servi de réponse à une crise de confiance plus que de lancement communautaire.

Un écart de 27 800 fois

Un chercheur a intercepté le trafic de la version 0.2.93 de l’outil en ligne de commande. Sur un dépôt de test de 12 Go, la tâche de programmation générait environ 192 Ko d’échanges. Un second canal envoyait en parallèle 5,1 Go en 73 morceaux vers un espace de stockage Google Cloud baptisé grok-code-session-traces, soit environ 27 800 fois plus de données que nécessaire (DevOps.com, juillet 2026).

Les envois auraient contenu des clés SSH et des identifiants présents en clair dans des fichiers de configuration suivis. Un utilisateur qui avait lancé l’agent depuis son dossier personnel a même rapporté l’envoi d’une base de mots de passe, de documents et de photos. Plus grave, le réglage d’amélioration du modèle n’avait aucun effet sur ces transferts, à rebours de la communication de l’éditeur.

La réponse de xAI

xAI a coupé le canal le 13 juillet 2026 et désactivé par défaut la conservation des données pour tous les utilisateurs à partir du 12 juillet (Simon Willison, juillet 2026). Elon Musk a affirmé que les données déjà envoyées seraient intégralement supprimées. L’éditeur n’a publié ni avis de sécurité, ni note de version, ni nombre d’utilisateurs concernés, ni durée de conservation (DevOps.com, juillet 2026).

Le code ouvert garde la trace de l’épisode : une fonction d’envoi de l’état de session subsiste, mais elle renvoie désormais une erreur codée en dur. C’est précisément l’intérêt d’un code lisible : chacun peut vérifier que la porte est fermée, au lieu de croire un communiqué.

La séquence reste instructive pour tout acheteur d’outil d’IA. La promesse commerciale disait qu’aucune donnée du code ne quittait la session ; la mesure du trafic a montré l’inverse. Entre les deux, seul un test technique indépendant a fait la différence. Exigez donc de vos fournisseurs une politique de données écrite, vérifiable et assortie d’un engagement de notification en cas d’incident.

Grok Build est-il un vrai projet open source ?

Grok Build est open source au sens juridique, pas au sens communautaire. La licence Apache 2.0 autorise lecture, modification et usage commercial, mais xAI refuse les contributions externes et traite les failles hors de GitHub. C’est une transparence de code, pas une gouvernance partagée.

Chronologie de l’affaire Grok Build, novembre 2026
Date	Événement	Source
Avant juillet 2026	La version 0.2.93 envoie des répertoires entiers vers un stockage cloud, réglage de confidentialité sans effet	DevOps.com
12 juillet 2026	Conservation des données désactivée par défaut pour tous les utilisateurs	Simon Willison
13 juillet 2026	xAI coupe le canal d’envoi non documenté	DevOps.com
15 juillet 2026	Publication du code sous licence Apache 2.0, en un seul commit	Simon Willison
Semaines 29 et 30	grok-build devient le dépôt d’agents le plus suivi de GitHub	Veille SquadScope
4 novembre 2026	Environ 27 700 étoiles et 5 200 forks, dernière mise à jour le 29 septembre	Page GitHub xai-org

Pas de contributions, pas d’historique

Les règles de contribution de xAI n’acceptent aucune demande de modification extérieure, et les signalements de sécurité passent par un programme de primes aux bogues plutôt que par les tickets publics (DevOps.com, juillet 2026). Le dépôt ne compte ni ticket ouvert ni demande de fusion, et la publication initiale tenait en un seul commit, sans historique de développement.

La licence Apache 2.0 reste un vrai atout. Une entreprise peut auditer le code, le compiler, le modifier en interne et le brancher sur son propre modèle. Elle ne peut simplement pas compter sur l’éditeur pour intégrer ses corrections.

Une croissance d’étoiles hors norme

Le dépôt affichait environ 9 300 étoiles dans les jours suivant sa sortie, d’après la sélection mensuelle d’Analytics Vidhya de juillet 2026. Il en compte environ 27 700 au 4 novembre 2026, soit un triplement en moins de quatre mois. Il se place ainsi derrière Grok-1 et x-algorithm parmi les dépôts consacrés à Grok, et devant l’alternative communautaire OpenMausBot.

Ce succès tient aussi à la curiosité technique. Lire ligne à ligne un harnais d’agent utilisé en production est rare : seuls quelques éditeurs l’ont permis. Pour les équipes qui conçoivent leurs propres agents, c’est un manuel de 844 530 lignes, gratuit.

Sur le terrain

Sur nos déploiements d’agents de code, nous appliquons une règle que l’affaire Grok Build a rendue évidente : jamais d’agent lancé depuis un dossier personnel ou un poste qui contient des secrets. L’agent travaille dans un conteneur isolé, sur une copie du dépôt, sans clés SSH ni fichiers d’environnement réels. Les identifiants passent par un coffre dédié, et le trafic sortant est limité aux points d’accès du modèle.

Cette discipline coûte une demi-journée de mise en place. Elle évite le scénario du chercheur de juillet 2026 : un outil qui lit tout ce qu’il peut atteindre. Chez HDVMA, l’humain décide de ce que la machine a le droit de voir, avant de lui demander d’écrire une ligne.

Faut-il utiliser Grok Build dans votre entreprise ?

Grok Build peut entrer dans une entreprise comme objet d’étude ou comme agent cloisonné, branché sur un modèle choisi et contrôlé. L’utiliser tel quel sur des postes de développeurs, avec leurs secrets et leurs dépôts clients, reste déconseillé tant que l’éditeur n’a pas documenté l’incident de juillet 2026.

La newsletter HDVMA

Recevez 1 fois par semaine les articles IA, SEO & GEO de HDVMA

Un email par semaine maximum · Désinscription en un clic

Trois scénarios raisonnables

Premier scénario, l’audit : faire lire le code par votre équipe sécurité pour comprendre ce qu’un agent de code peut atteindre et transmettre. Deuxième scénario, la référence : s’inspirer de son système de skills, de hooks et de sous-agents pour concevoir vos propres garde-fous. Troisième scénario, l’usage cloisonné : compiler l’outil et le pointer vers un point d’inférence maîtrisé, dans un environnement sans secrets.

xAI propose aussi un plugin qui délègue revues et tâches de secours à Grok Build depuis Claude Code, l’agent d’Anthropic. Ce croisement des outils confirme que les entreprises combinent désormais plusieurs agents. Notre analyse de Claude Code et de ses chiffres d’adoption en 2026 donne le point de comparaison.

Ne confondez pas Grok Build et Grok Bot

Grok Build est l’outil de programmation en terminal. Grok Bot, lancé en bêta le 11 août 2026, est un « coéquipier IA » doté d’un ordinateur dans le cloud, sans vocation de codage (Digital Applied, août 2026). Les deux produits n’ont ni la même surface de risque ni le même usage, et seul le premier a été ouvert.

En pratique

Avant tout essai d’agent de code, vérifiez trois points. Le dossier de travail ne contient aucun fichier de secrets. Le trafic sortant est journalisé, par exemple avec un proxy local pendant la phase de test. La politique de conservation des données de l’éditeur est écrite noir sur blanc, et pas seulement annoncée.

Et côté méthode : la phase Déployer : mise en production supervisée.

Encadrez chaque agent de code avant de lui ouvrir vos dépôts

Traitez un agent de code comme un prestataire qui aurait les clés de vos serveurs : périmètre écrit, accès minimal, contrôle humain avant toute fusion. L’affaire Grok Build de juillet 2026 a montré qu’un réglage de confidentialité peut être sans effet, et que seule une vérification technique tranche.

Les règles à écrire dès maintenant

Fixez la liste des dépôts autorisés, interdisez l’accès aux dossiers personnels, et imposez une revue humaine de chaque modification proposée. Ajoutez une clause contractuelle sur l’usage des données de code par l’éditeur, avec un engagement de suppression vérifiable.

Côté réglementation, les obligations de transparence de l’article 50 de l’AI Act s’appliquent depuis le 2 août 2026 aux systèmes qui interagissent avec des personnes. Un agent de code interne n’y entre pas toujours, mais le RGPD s’applique dès que des données personnelles traînent dans un dépôt, ce qui arrive plus souvent qu’on ne le croit. Notre méthode pour implanter l’IA en entreprise sans risque détaille ces garde-fous.

Mesurez avant de généraliser

Démarrez par un pilote de quatre semaines sur un dépôt non critique, avec deux indicateurs : le temps gagné par tâche et le nombre de corrections humaines nécessaires. Si l’agent fait gagner du temps sans dégrader la qualité, élargissez progressivement. Sinon, arrêtez. La machine propose les modifications, l’humain décide de ce qui part en production.

L’essentiel en 4 points

grok-build réunit environ 27 700 étoiles et 5 200 forks au 4 novembre 2026, troisième des dépôts consacrés à Grok.
Le code compte 844 530 lignes de Rust sous licence Apache 2.0, publié le 15 juillet 2026 en un seul commit.
L’ouverture a suivi la découverte d’envois de 5,1 Go par session test, soit environ 27 800 fois le trafic utile.
xAI n’accepte aucune contribution externe : c’est une transparence de code, pas une gouvernance communautaire.

Méthodologie

Cet article s’appuie sur les données publiées par Simon Willison, Digital Applied et Wikipedia, ainsi que sur l’enquête de DevOps.com et les pages GitHub de l’organisation xai-org, consultées en novembre 2026. Les chiffres correspondent aux données en vigueur au moment de la rédaction.

À lire ensuite

Questions fréquentes

Qu’est-ce que le dépôt grok-build de xAI ?

grok-build est le dépôt GitHub qui contient le code source complet de Grok Build, l’agent de programmation en terminal de xAI, publié sous licence Apache 2.0 le 15 juillet 2026. Il réunit environ 27 700 étoiles en novembre 2026 et se classe troisième des dépôts consacrés à Grok, derrière Grok-1 et x-algorithm.

Pourquoi Grok Build a-t-il été rendu open source ?

xAI a publié le code deux jours après la révélation d’un canal non documenté qui envoyait des répertoires entiers vers un stockage cloud, jusqu’à 5,1 Go pour un dépôt de test de 12 Go. L’éditeur a coupé ce canal le 13 juillet 2026, désactivé la conservation par défaut et promis la suppression des données déjà envoyées.

Peut-on contribuer au code de Grok Build ?

Non. Les règles de contribution de xAI n’acceptent aucune demande de modification externe, et les failles de sécurité passent par un programme de primes aux bogues. La licence Apache 2.0 permet en revanche de lire, compiler, modifier en interne et utiliser commercialement le code, y compris avec un autre modèle que Grok.

Quelle est la différence entre Grok Build et Grok Bot ?

Grok Build est l’agent de programmation en terminal de xAI, ouvert en juillet 2026. Grok Bot est un coéquipier IA doté d’un ordinateur dans le cloud, lancé en bêta le 11 août 2026 et inclus dans certaines offres payantes. Seul Grok Build a été publié en open source, et leurs usages comme leurs risques diffèrent.

Comment utiliser un agent de code comme Grok Build sans risque ?

Il faut lancer l’agent dans un conteneur isolé, sur une copie du dépôt sans clés SSH ni fichiers de secrets, journaliser le trafic sortant pendant les tests et imposer une revue humaine de chaque modification. Un pilote de quatre semaines sur un dépôt non critique permet ensuite de mesurer le gain réel avant de généraliser.

Eric Christophe, dirigeant HDVMA, expert SEO et IA

À propos de l’auteur
	Eric Christophe, dirigeant HDVMA Expert SEO et automatisation IA. Accompagne PME et ETI françaises dans leur stratégie de visibilité Google et IA. Cas phare : BoatCible, +320 % de trafic organique en 5 mois, cité par ChatGPT et Perplexity. LinkedIn

Diagnostic IA gratuit
Nous contacter
Parler à Eric

L’IA dans votre entreprise, c’est simple !En savoir plus