Elon Musk lover å åpne hele X-kodebasen: – Ingen unntak

Utsagnet kom etter at en sikkerhetsforsker hadde avslørt at xAIs kodeassistent Grok Build i hemmelighet lastet opp private kunders komplette kodearkiver til en Google Cloud-lagringsbøtte kontrollert av selskapet . OpenAI-sjef Sam Altman omtalte personvernproblemet som «bekymringsfullt» .

Tre betingelser – men ingen tidsplan

Løftet inneholder tre sentrale elementer:

• En intern sikkerhetsgjennomgang først: Koden skal ikke publiseres før X har fullført gjennomgangen av sårbarheter. Selskapet har ikke oppgitt når dette skal være ferdig .
• Hele kodebasen: Musk snakker ikke bare om anbefalingsalgoritmen som bestemmer hva brukerne ser i «For You»-strømmen. Løftet gjelder hele kodebasen som kjører på Xs servere, «uten unntak» .
• Uavhengig kontroll: Tredjeparter skal undersøke produksjonssystemet og kontrollere at den offentliggjorte koden faktisk er den samme som er i drift. Hensikten er å unngå det kritikere gjerne kaller «åpenhetsteater» .

Det er foreløpig ikke oppgitt noen publiseringsdato, navnet på et kodearkiv, programvarelisens eller en teknisk definisjon av hva «hele kodebasen» skal inneholde .

Fra anbefalingsmotor til hele plattformen

I januar 2026 lovet Musk å gjøre Xs nye anbefalingsalgoritme åpen innen sju dager. Algoritmen, som var Grok-drevet, skulle omfatte koden som avgjør hvilke organiske innlegg og annonser som anbefales til brukerne. Han lovet også oppdateringer hver fjerde uke, med detaljerte utviklernotater .

Dette var i praksis et løfte om å åpne selve rangeringsmotoren bak innholdsstrømmen – ikke hele den tekniske infrastrukturen til X . Løftet ble delvis fulgt opp: 20. januar 2026 ble den Grok-drevne anbefalingsalgoritmen publisert på GitHub under Apache 2.0-lisensen, og den er siden blitt oppdatert hver fjerde uke .

Juli-løftet er derfor en kraftig opptrapping. Musk lover nå ikke bare innsyn i hvordan strømmen rangeres, men i hele plattformens kode, i tillegg til at utenforstående skal kontrollere samsvaret mellom offentlig kode og systemet som er i drift .

Hva kan åpenheten bety?

Dersom løftet blir gjennomført som beskrevet, vil det være et av de mest omfattende åpenhetstiltakene en stor sosial plattform har forsøkt seg på. Forskere, journalister og tilsynsmyndigheter kan i prinsippet få mulighet til å undersøke alt fra innholdsmoderering og annonsemålretting til infrastruktur og håndtering av data .

Kontrollen av produksjonssystemet er særlig viktig. Det er ikke nok å publisere kode dersom den offentlige versjonen er en begrenset eller utdatert variant av det som faktisk kjører. Samtidig er det svært krevende å verifisere alle tjenester i en plattform på Xs størrelse .

Den andre siden av regnestykket: sikkerhet

Å publisere en komplett produksjonskodebase kan også gi angripere et detaljert kart over systemet:

• Større angrepsflate: Påloggingslogikk, interne API-endepunkter, infrastruktur og dataflyt kan gjøre det lettere å finne svake punkter.
• Permanent eksponering: En sårbarhet som oppdages etter publisering, kan ikke lenger holdes skjult mens den utbedres. Koden er allerede tilgjengelig for alle.
• Vanskelig verifisering: Selv med uavhengige kontrollører er det svært komplisert å fastslå at offentlig kode samsvarer nøyaktig med produksjon på tvers av alle tjenester.
• Risiko i leverandørkjeden: 2026-rapporten State of Open Source peker på sårbarhetshåndtering som et vedvarende svakt punkt. Å åpne en enorm proprietær kodebase kan samtidig introdusere nye risikoer i programvare- og avhengighetskjeden .

Et mer krevende sikkerhetsklima i 2026

Musk lanserer løftet i en periode der sikkerheten i åpen kildekode er under økende press. Antallet CVE-er – offentlig registrerte sikkerhetssårbarheter – som knyttes til KI-generert kode, økte fra seks i januar 2026 til 35 i mars, en nær seksdobling på to måneder . Én analyse anslo at det reelle antallet utnyttbare feil fra KI-verktøy kan være fem til ti ganger høyere enn det bekreftede antallet. Det tilsvarer anslagsvis 400–700 tilfeller i observerbare offentlige arkiver alene, mens private virksomheters kodebaser ikke er medregnet .

Open Source Security Foundation (OpenSSF) har også advart om et større, KI-drevet angrep mot infrastrukturen for åpen kildekode. Organisasjonens teknologidirektør Christopher Robinson har omtalt et slikt angrep som uunngåelig, snarere enn bare mulig, blant annet på grunn av raskere KI-verktøy, sterke økonomiske insentiver for angripere og begrensede ressurser hos vedlikeholderne .

En studie fra desember 2025 fant at KI-generert kode introduserte sikkerhetssårbarheter i 45 prosent av utviklingsoppgavene. KI-assisterte endringer i kodeprosjekter førte dessuten til 2,74 ganger flere sikkerhetsproblemer enn endringer skrevet av mennesker alene .

Dersom X-kodebasen inneholder KI-generert eller mangelfullt gjennomgått kode, kan en offentliggjøring dermed gjøre hittil ukjente feil lettere å oppdage og utnytte.

Hva sikkerhetseksperter har advart om tidligere

Det finnes foreløpig ingen navngitte sikkerhetseksperter i kildematerialet som kommenterer akkurat Musks kunngjøring 15. juli. Men tilsvarende bekymringer ble reist da Musk først snakket om å åpne Twitters algoritmer under oppkjøpet i 2022.

Jamie Moles, senior salgsingeniør i cybersikkerhetsselskapet ExtraHop, mente at åpen kode kunne være positivt for innsyn, men advarte om at den også kunne bli tatt i bruk av andre plattformer, annonsører og angripere som ønsker å forstå systemet bedre .

Det grunnleggende dilemmaet er enkelt: Den samme åpenheten som gjør det mulig for forskere å finne feil, gjør det også mulig for ondsinnede aktører å lete etter dem. En publisert sårbarhet kan ikke «tas tilbake», og forskjellen mellom legitim kontroll og misbruk kan være liten når hele produksjonsmiljøet legges på bordet .

Konklusjonen

Musks kunngjøring 15. juli er et langt mer omfattende åpenhetsløfte enn januar-løftet om anbefalingsalgoritmen. Denne gangen lover han hele X-kodebasen, uten unntak, og en form for tredjepartsverifisering som skal vise at den offentlige koden samsvarer med systemet som faktisk kjører.

Men de viktigste detaljene mangler fortsatt: Det finnes ingen tidsplan for sikkerhetsgjennomgangen eller publiseringen, og X har ikke forklart hvilken lisens eller tekniske avgrensning som skal gjelde .

Om løftet blir gjennomført, og om gevinsten i form av innsyn vil veie opp for risikoen ved å eksponere et komplekst produksjonssystem, gjenstår å se. Det som allerede er tydelig, er at kunngjøringen kommer samtidig som KI-drevet sårbarhetsjakt øker, OpenSSF advarer om en alvorlig trussel mot åpen kildekode , og gjennomsnittlig antall sårbarheter per kodebase har mer enn doblet seg .