Elon Musk vil åbne hele X’s kodebase: Et historisk gennemsigtighedsforsøg med store sikkerhedsrisici

Udmeldingen kom efter en sikkerhedsforskers oplysninger om, at xAI’s kodeassistent Grok Build i hemmelighed uploadede hele private kunders koderepositorier til en Google Cloud-lagringsbøtte, som virksomheden selv kontrollerede . OpenAI’s direktør Sam Altman kaldte efterfølgende databeskyttelsesproblemet “bekymrende” .

Tre betingelser står klart

• Først en intern sikkerhedsgennemgang: Koden skal først offentliggøres, når X har gennemført sin gennemgang af sikkerhedssårbarheder. Der er ikke meldt nogen dato ud for, hvornår den bliver færdig .
• Hele kodebasen skal med: Løftet gælder ikke kun anbefalingsalgoritmen, men ifølge Musk hele den kode, der driver X’s platform – “uden undtagelser” .
• Ekstern kontrol: Uafhængige tredjeparter skal undersøge produktionssystemet og bekræfte, at den offentliggjorte kode svarer til den software, X reelt bruger .

Musk har dog ikke oplyst, hvornår koden offentliggøres, hvilket repository den skal ligge i, hvilken softwarelicens der skal gælde, eller præcist hvad “hele kodebasen” omfatter .

Fra anbefalingsalgoritme til hele platformen

Løftet er en markant udvidelse af Musks tidligere udmelding fra januar 2026. Dengang lovede han at offentliggøre X’s nye, Grok-baserede anbefalingsalgoritme inden for syv dage. Han lovede også opdateringer hver fjerde uge med detaljerede udviklernoter .

Det tidligere løfte var afgrænset til den kode, der bestemmer, hvilke organiske opslag og annoncer brugerne får vist i deres feed – altså i praksis motoren bag rangeringen af indhold . X fulgte delvist op på løftet, da den Grok-baserede anbefalingsalgoritme blev lagt på GitHub den 20. januar 2026 under Apache 2.0-licensen, med fortsatte opdateringer hver fjerde uge .

Juli-udmeldingen går langt videre. Denne gang handler det ikke kun om feedet, men om hele X’s tekniske fundament, samtidig med at en ekstern kontrol skal forhindre, at offentliggørelsen blot bliver en symbolsk gennemsigtighedsøvelse .

Hvad kan mere åben kode betyde?

Hvis løftet bliver gennemført som beskrevet, vil forskere, journalister og myndigheder få langt bedre mulighed for at undersøge, hvordan X fungerer – fra indholdsmoderation og målretning af annoncer til databehandling og platformens infrastruktur .

Den planlagte kontrol af produktionssystemet er vigtig, fordi offentliggjort kode ikke nødvendigvis er identisk med den kode, der kører online. En virksomhed kan i princippet offentliggøre en version, mens en anden version anvendes i driften. Tredjepartsverifikation er tænkt som et værn mod netop det problem .

Men større gennemsigtighed er ikke det samme som lavere risiko.

De vigtigste sikkerhedsrisici

Et større angrebsareal

En komplet kodebase kan afsløre autentificeringslogik, interne API-endepunkter, infrastrukturens opbygning og systemernes dataflow. Det kan give angribere et detaljeret kort over platformens svage punkter.

Sårbarheder kan ikke gøres private igen

Hvis en alvorlig fejl opdages efter offentliggørelsen, er koden allerede tilgængelig for alle – også angribere, der kan studere den i ro og mag. Fejlen kan naturligvis rettes, men selve afsløringen kan ikke trækkes tilbage.

Verifikation er teknisk kompliceret

Selv med uafhængige kontrollanter kan det være særdeles vanskeligt at bevise, at den offentlige kode svarer nøjagtigt til den kode, der kører på tværs af alle tjenester i en platform på X’s størrelse.

Risiko i softwareforsyningskæden

Open Source Security Foundation har peget på, at sårbarhedshåndtering fortsat er et centralt problem i open source-miljøer. En rapport fra 2026 fandt blandt andet, at 20 procent af organisationerne ikke har en specifik proces til håndtering af CVE’er, mens 39 procent af store virksomheder har vanskeligt ved at håndtere dem . En massiv offentliggørelse af X’s hidtil proprietære kode kan derfor også skabe nye angrebsmuligheder i softwareforsyningskæden.

En open source-verden under pres

Musk’s timing er bemærkelsesværdig, fordi sikkerhedslandskabet for open source samtidig bliver mere udfordret af kunstig intelligens. Antallet af CVE’er, der kan henføres til AI-genereret kode, steg fra seks i januar 2026 til 35 i marts – næsten en seksdobling på to måneder . En analyse vurderede, at det reelle antal udnyttelige fejl i offentlige open source-repositorier kan være fem til ti gange højere end det bekræftede antal. Det svarer til et anslået niveau på 400-700 tilfælde alene i observerbare repositorier, mens private virksomheders kode ikke er medregnet .

Open Source Security Foundation har desuden advaret om et større AI-drevet cyberangreb mod open source-infrastruktur. Organisationens teknologidirektør Christopher Robinson har beskrevet et sådant angreb som uundgåeligt snarere end blot muligt – blandt andet på grund af hurtigere AI-kapacitet, store økonomiske incitamenter for angribere og begrænsede ressourcer hos vedligeholderne .

En undersøgelse fra december 2025 fandt, at AI-genereret kode introducerede sikkerhedssårbarheder i 45 procent af udviklingsopgaverne. AI-assisterede pull requests skabte ifølge samme undersøgelse 2,74 gange flere sikkerhedsproblemer end kode skrevet uden AI-assistance .

Hvis X’s kodebase indeholder AI-genereret eller utilstrækkeligt gennemgået kode, kan en offentliggørelse dermed gøre hidtil ukendte sårbarheder lettere at finde og udnytte.

Hvad siger sikkerhedseksperter?

Der er endnu ikke kommet navngivne sikkerhedseksperters specifikke vurderinger af Musks udmelding fra 15. juli. Den var kun få timer gammel, da oplysningerne blev samlet. Men de generelle bekymringer ved at offentliggøre stor produktionskode er velkendte.

Da Musk første gang talte om at offentliggøre Twitters algoritme i forbindelse med overtagelsen i 2022, advarede Jamie Moles, daværende senior sales engineer hos cybersikkerhedsfirmaet ExtraHop, om, at initiativet kunne blive udnyttet af andre sociale platforme, annoncører og angribere. Han fremhævede, at den samme åbenhed, som hjælper legitime forskere, også kan hjælpe personer med ondsindede hensigter .

Andre branchevurderinger peger på de samme udfordringer: Mere indsigt for sikkerhedsforskere betyder også mere indsigt for kriminelle aktører . Samtidig er der ingen garanti for, at offentlig kode altid afspejler alle komponenter, konfigurationer og ændringer i et live produktionsmiljø.

Konklusionen

Musks udmelding fra 15. juli 2026 er et usædvanligt vidtgående løfte om gennemsigtighed fra en stor social platform. Den går langt videre end januar-løftet om at offentliggøre anbefalingsalgoritmen: Nu loves hele X’s kodebase, ingen undtagelser og en ekstern kontrol af, om den offentlige kode svarer til produktionen .

Men der mangler stadig de oplysninger, der kan gøre løftet målbart: en tidsplan, et repository, en licens og en præcis teknisk afgrænsning af kodebasen .

Det store spørgsmål bliver derfor ikke kun, om X offentliggør koden, men også om virksomheden kan gøre det uden at udlevere et detaljeret kort over platformens sikkerhedshuller. Det er en balance mellem gennemsigtighed og eksponering, som bliver endnu vanskeligere i en tid, hvor AI gør både udvikling, sårbarhedssøgning og cyberangreb hurtigere. Samtidig viser 2026-rapporteringen, at det gennemsnitlige antal sårbarheder pr. kodebase er mere end fordoblet .