AIREITERGrok Build est désormais open source, mais il ne devient pas pour autant un outil de code local et privé par défaut. xAI, récemment rebaptisé SpaceXAI, a placé sur GitHub le code de son agent de programmation en terminal Grok Build, sous licence Apache 2.0. Il faut toutefois distinguer deux choses : le dépôt contient le harnais de l’agent et son TUI en Rust, pas le modèle lui-même. grok-build-0.1 reste une API propriétaire et payante. Et cette publication intervient quelques jours seulement après que des chercheurs ont observé l’outil envoyer des dépôts Git complets vers un stockage cloud ; le code responsable de cet envoi figure toujours dans l’arborescence désormais publique.
La requête « grok build open source » correspond donc bien à une réalité, et cette ouverture a une vraie utilité : il est maintenant possible de vérifier précisément ce que le client fait avec votre code. Mais open source ne signifie pas confidentialité par défaut. Si vous avez utilisé Grok Build sur un dépôt privé avant la mi-juillet 2026, votre priorité devrait être de contrôler vos réglages, pas de cloner le dépôt. Voici ce qu’il faut retenir.
Ce que SpaceXAI a ouvert — et ce qui reste fermé
Le dépôt xai-org/grok-build héberge un agent de développement en plein écran pour le terminal. Il peut analyser un code source, modifier des fichiers, lancer des commandes, effectuer des recherches sur le Web et gérer des tâches, en mode interactif comme sans interface. GitHub l’identifie comme étant écrit à 99,6 % en Rust et distribué sous licence Apache 2.0. Au 16 juillet 2026, il affichait 8,1 k étoiles et 1,3 k forks. Son historique ne comporte qu’un unique commit écrasé, intitulé « Publish harness and TUI open-source » : vous pouvez donc examiner le client livré, mais pas son historique de développement.
Le dépôt ne contient pas l’intelligence qui alimente l’outil. Grok Build s’appuie sur grok-build-0.1, un modèle qui reste derrière l’API payante de l’entreprise. C’est une nuance importante :
- grok-1 (2024) a été publié avec des poids ouverts : il était possible de télécharger et d’exécuter le modèle soi-même.
- grok-build (2026) est un client open source : vous pouvez lire et modifier l’outil, mais il appelle toujours un modèle propriétaire via le réseau.
Cette publication ne suffit donc pas si vous cherchez un Grok entièrement local et auto-hébergé. En revanche, elle permet d’auditer et d’étendre l’outil qui accède à vos fichiers.
L’incident de confidentialité qui éclaire cette sortie
Cette ouverture du code n’arrive pas par hasard. D’après The Hacker News, le 14 juillet 2026, un chercheur utilisant le pseudonyme cereblab a fait passer Grok Build par un proxy réseau d’interception afin de documenter les données envoyées par le client.
Sa conclusion : le client compressait et téléversait l’intégralité du dépôt Git suivi, historique complet des commits inclus, dans un bucket Google Cloud Storage nommé grok-code-session-traces. Lors d’un essai sur un dépôt de 12 GB, le rapport a relevé 5,10 GiB de données montantes, alors que le trafic réel vers le modèle n’atteignait qu’environ 192 KB. L’envoi incluait des fichiers que l’agent n’avait jamais ouverts — un fichier leurre placé dans src/_probe/never_read_canary.txt a lui aussi été transféré — ainsi que le contenu non masqué de fichiers .env, avec notamment des valeurs de test libellées API_KEY et DB_PASSWORD.
L’option de désactivation que beaucoup auraient naturellement utilisée ne couvrait pas ce cas. Le réglage « Improve the model » détermine si vos données servent à entraîner le modèle ; il ne contrôle pas leur sortie de votre machine. Selon le même rapport, le comportement a été constaté dans la version 0.2.93, et le code d’upload était encore présent dans le build 0.2.99.
D’après cette couverture, la réponse de l’entreprise a été la suivante : le 13 juillet, elle a désactivé les uploads côté serveur, sans mise à jour du client, a communiqué sur les réseaux sociaux plutôt que par le biais d’un avis de sécurité officiel, puis a ajouté une commande /privacy permettant de désactiver la rétention. Elon Musk a affirmé que les données précédemment envoyées seraient « complètement et totalement supprimées ». Aucun CVE n’a été attribué.
Ce que l’ouverture du code permet enfin de vérifier
C’est l’intérêt concret de cette publication. Auparavant, pour confirmer ce que Grok Build envoyait, il fallait intercaler un proxy entre le client et le réseau, puis inspecter le trafic. Le client étant maintenant public, la logique de préparation et d’upload peut être lue directement au lieu d’être déduite de l’activité réseau.
Cette lecture met aussi en évidence un point que le correctif côté serveur peut masquer : désactiver les uploads ne revient pas à supprimer le code. Le chemin d’upload existe toujours dans l’arborescence publiée ; il est désactivé par l’entreprise, mais n’a pas été retiré du client. Un indicateur côté serveur peut être réactivé ; du code absent ne peut tout simplement plus s’exécuter. Pour un projet sensible, « faites-nous confiance, c’est désactivé » et « cette capacité n’existe plus » ne représentent pas le même niveau de garantie. L’open source permet précisément de faire cette distinction.
Voici les points à contrôler pour tout agent de code relié à un modèle cloud :
- Quelles données quittent la machine, et à quel moment — uniquement les fichiers lus par l’agent, ou tout le dépôt ?
- La désactivation de la collecte bloque-t-elle réellement les sorties réseau, ou seulement l’entraînement du modèle ?
- Pouvez-vous le vérifier vous-même — capture via proxy, lecture du code source, ou simple page de politique de confidentialité ?
- Quel traitement est appliqué aux secrets — les fichiers de type
.envsont-ils analysés et expurgés avant envoi ?
Installer et lancer Grok Build
La méthode la plus rapide consiste à utiliser l’installateur officiel, qui récupère un binaire précompilé nommé grok :
# macOS / Linux / Git Bash
curl -fsSL https://x.ai/cli/install.sh | bash
grok --version
# Windows PowerShell
irm https://x.ai/cli/install.ps1 | iexPour compiler vous-même le client open source depuis le dépôt, vous aurez besoin de Rust — sa version est définie dans rust-toolchain.toml, donc rustup s’en charge — ainsi que de protoc pour la génération de code proto. La compilation est prise en charge sur macOS et Linux :
cargo run -p xai-grok-pager-bin # lance le TUI
cargo build -p xai-grok-pager-bin --release # binaire de production
cargo check -p xai-grok-pager-bin # vérifie la compilationAu premier lancement, Grok Build s’authentifie via le navigateur plutôt qu’avec une clé API collée manuellement. L’artefact porte le nom interne xai-grok-pager et les builds officiels le distribuent sous le nom grok ; c’est utile à savoir lorsque vous parcourez l’organisation des crates.
Quel est le coût d’utilisation ?
Le client open source est gratuit, mais l’exécution ne l’est pas : le modèle est facturé à l’usage. Selon la fiche OpenRouter, grok-build-0.1 coûte 1 $ par million de tokens en entrée et 2 $ par million de tokens en sortie. Il dispose d’une fenêtre de contexte de 256K tokens, accepte les entrées texte et image, et sa date de sortie indiquée est le 21 mai 2026. Le prompt caching peut réduire le coût effectif des entrées d’environ 60 à 80 % lorsque le contexte est répété, un élément particulièrement important pour un agent de code qui renvoie les mêmes fichiers au fil d’une session.
grok-build-0.1 utilise une API standard de chat completions. Il est donc accessible via des routeurs de modèles et des passerelles API, en plus d’un accès direct par SpaceXAI — pratique si vous centralisez déjà plusieurs fournisseurs derrière une seule clé. AIReiter fait partie de ces passerelles compatibles avec Anthropic, capables de router vers Grok parmi d’autres modèles. Quel que soit votre mode d’accès, vérifiez les tarifs actuels par token à la source avant de vous appuyer sur un montant unique : les prix d’une passerelle peuvent différer de ceux du fournisseur.
Faut-il utiliser Grok Build aujourd’hui ?
Le verdict raisonnable : Grok Build mérite d’être essayé, sous certaines conditions.
Les arguments en sa faveur. Le client est rapide — Rust natif, TUI plein écran compatible avec la souris —, il est véritablement open source sous Apache 2.0, donc lisible et forkable, et grok-build-0.1 est spécifiquement optimisé pour le développement agentique avec un contexte de 256K. Pour des projets personnels, des dépôts temporaires ou du code public, l’incident récent présente peu de risques concrets.
Les raisons de rester prudent. Le code d’upload est toujours présent dans l’arborescence publiée : il est désactivé côté serveur, mais pas supprimé. Le modèle demeure fermé, vous confiez donc toujours à un service réseau ce que le client lui transmet. Pour des dépôts privés d’entreprise ou tout contenu couvert par un NDA, traitez Grok Build comme n’importe quel outil ayant récemment distribué un réglage par défaut impliquant une large sortie de données.
Comment vérifier avant de lui confier du vrai code. Puisque le client est désormais ouvert, vous pouvez git clone le dépôt et rechercher dans le code le chemin d’upload ainsi que le nom du bucket grok-code-session-traces, plutôt que de croire le correctif sur parole. Pour un contrôle en conditions réelles, utilisez Grok Build sur un dépôt jetable en le faisant passer par un proxy d’interception, ou bloquez le domaine du bucket de stockage dans votre pare-feu, puis observez si autre chose que le trafic destiné au modèle quitte la machine. Lancez /privacy pour désactiver la rétention et évitez les dépôts privés tant que vous n’avez pas vérifié le comportement par vous-même.
Si vous aviez écarté Grok Build lors de précédentes comparaisons de CLI de développement parce qu’il était fermé, cette conclusion n’est plus à jour. De la même manière que Codex et Claude Code se distinguent par leur degré d’ouverture et leur workflow, Grok Build est passé d’un outil propriétaire à un outil open source. Cela change la façon dont il peut être audité, même si le modèle qui le propulse n’a pas changé.
Questions fréquentes
Existe-t-il un modèle Grok open source ?
En partie. Le client Grok Build est open source sous licence Apache 2.0 depuis juillet 2026, et les poids de grok-1 ont été publiés dès 2024. En revanche, grok-build-0.1, le modèle qui alimente Grok Build aujourd’hui, n’est pas ouvert : il fonctionne uniquement via l’API payante de SpaceXAI.
Grok Build est-il gratuit ?
L’outil est gratuit : vous pouvez installer le binaire ou compiler le client open source sans frais. Son utilisation ne l’est pas, car il appelle grok-build-0.1, qui est facturé au token. Aucun modèle local n’est inclus.
Combien coûte grok-build-0.1 ?
OpenRouter l’affiche à 1 $ par million de tokens en entrée et 2 $ par million de tokens en sortie, avec une fenêtre de contexte de 256K. La réutilisation d’un même contexte au cours d’une session bénéficie du prompt caching, qui peut selon cette fiche réduire fortement le coût effectif des entrées.
Puis-je utiliser Grok pour créer une application ?
Oui, c’est précisément le rôle de Grok Build. Cet outil de développement agentique peut lire votre code source, modifier des fichiers et exécuter des commandes depuis le terminal. Si vous préférez concevoir votre propre boucle d’agent, vous pouvez aussi appeler grok-build-0.1 directement via son API.
L’open source garantit-il désormais la confidentialité de mon code ?
Non. L’open source vous permet d’inspecter ce que le client fait avec votre code ; il n’empêche pas automatiquement l’envoi de données. Après l’incident de juillet 2026, SpaceXAI a désactivé côté serveur l’upload de dépôts entiers et ajouté une commande /privacy. Mais si vous avez utilisé Grok Build sur un dépôt privé auparavant, vérifiez vos réglages et vos options de rétention au lieu de supposer que cette publication a réglé le problème pour vous.