Elon Musk lovar att öppna hela X:s kodbas – men säkerhetsriskerna är stora

Tre villkor – men inget datum

Muskons besked innehåller tre centrala delar:

• Först ska X slutföra en intern säkerhetsgranskning. Kodbasen ska alltså inte publiceras förrän företaget har gått igenom sårbarheter. X har inte sagt när granskningen blir klar .
• Publiceringen ska omfatta hela kodbasen. Det handlar enligt löftet inte bara om rekommendationsalgoritmen, utan om allt som körs på X:s servrar – ”utan undantag” .
• Externa granskare ska kontrollera produktionssystemet. De ska undersöka om den offentliga koden överensstämmer med den kod som faktiskt körs. Tanken är att minska risken för en begränsad eller symbolisk transparensinsats .

Det saknas fortfarande ett publiceringsdatum, namnet på ett kodförråd, en programvarulicens och en teknisk beskrivning av vad X menar med ”hela kodbasen” . Det är viktiga detaljer: en kodbas för en global plattform kan innehålla allt från rekommendations- och modereringssystem till interna API:er, infrastruktur och verktyg för datahantering.

Så skiljer sig juli-löftet från beskedet i januari

I januari 2026 lovade Musk att öppna X:s nya rekommendationsalgoritm inom sju dagar. Koden skulle visa hur plattformen avgör vilka organiska inlägg och annonser som rekommenderas, och uppdateringar skulle publiceras var fjärde vecka tillsammans med utvecklaranteckningar .

Det löftet var betydligt mer avgränsat: det gällde i praktiken motorn bakom innehållet i flödet ”För dig”, inte plattformens samtliga tekniska komponenter . X följde delvis upp löftet. Den 20 januari 2026 publicerade xAI den Grok-baserade rekommendationsalgoritmen på GitHub under Apache 2.0-licensen, och uppdateringar har fortsatt att publiceras var fjärde vecka .

Juli-beskedet innebär därför en kraftig upptrappning. Från att visa hur flödet rankas lovar Musk nu att öppna hela X:s kodbas, utan undantag, och dessutom låta tredje parter kontrollera kopplingen mellan den publicerade koden och produktionsmiljön .

Vad skulle öppen kod kunna ge?

Om löftet genomförs fullt ut skulle externa forskare, journalister och tillsynsmyndigheter få betydligt bättre möjligheter att granska hur X fungerar – från innehållsmoderering och annonsinriktning till infrastruktur och dataflöden .

Det kan också göra det lättare att upptäcka skillnader mellan företagets offentliga beskrivningar och den teknik som faktiskt används. Just kontrollen av produktionssystemet är central: öppen källkod säger inte automatiskt att den publicerade versionen är identisk med den version som körs online .

Men transparens är inte samma sak som säkerhet. En fullständig publicering kan samtidigt ge angripare en detaljerad karta över plattformens svaga punkter.

Säkerhetsriskerna med att publicera produktionskod

Flera risker är särskilt tydliga:

• Större angreppsyta: Kod för autentisering, interna API:er, infrastruktur och dataflöden kan avslöja hur systemet är uppbyggt och var skyddet kan vara svagt.
• Svårt att ta tillbaka informationen: Om en sårbarhet upptäcks efter publiceringen går den inte längre att hålla hemlig medan en korrigering förbereds. Koden finns redan tillgänglig för angripare.
• Komplex verifiering: Att bekräfta att all publicerad kod exakt motsvarar det som körs i en plattform av X:s storlek är mycket svårt, särskilt när många tjänster och system uppdateras löpande.
• Risker i leveranskedjan: Open Source Initiative:s rapport om öppen källkod 2026 pekar ut sårbarhetshantering som en fortsatt svag punkt. Att öppna en omfattande företagskodbas kan samtidigt skapa nya möjligheter för attacker mot beroenden och mjukvaruleveranskedjan .

Säkerhetsläget för öppen källkod har dessutom blivit mer pressat under 2026. Antalet CVE:er – offentligt registrerade säkerhetsbrister – som kopplats till AI-genererad kod ökade från sex i januari till 35 i mars, nästan en sexdubbling på två månader . En analys uppskattade att det verkliga antalet exploaterbara fel som AI-verktyg introducerat i öppna kodprojekt kan vara fem till tio gånger högre än det bekräftade antalet, motsvarande omkring 400–700 fall i observerbara arkiv. Privata företagskodbaser ingår inte i den uppskattningen .

Open Source Security Foundation, OpenSSF, har också varnat för en större AI-driven cyberattack mot infrastrukturen för öppen källkod. Organisationens teknikchef Christopher Robinson har beskrivit en sådan attack som oundviklig snarare än osannolik, med hänvisning till snabbare AI-utveckling, starka ekonomiska drivkrafter för angripare och begränsade resurser hos underhållare .

En studie från december 2025 fann dessutom säkerhetsbrister i AI-genererad kod i 45 procent av de undersökta utvecklingsuppgifterna. AI-assisterade pull requests – kodändringar som skickas in för granskning – gav 2,74 gånger fler säkerhetsproblem än ändringar skrivna av människor utan AI-stöd .

Vad säkerhetsexperter har varnat för

Det finns ännu inga namngivna säkerhetsexperter i det tillgängliga materialet som specifikt kommenterat Musks besked den 15 juli. Däremot har branschens generella invändningar mot att publicera stora produktionskodbaser varit tydliga under flera år.

När Musk först diskuterade att öppna Twitters algoritm i samband med uppköpet 2022 varnade Jamie Moles, senior försäljningsingenjör på cybersäkerhetsföretaget ExtraHop, för att samma insyn som hjälper forskare också kan hjälpa angripare. Han påpekade att koden kan användas av andra sociala plattformar, annonsörer och personer som vill förstå och förbättra sina verktyg .

Andra återkommande invändningar handlar om att:

• legitima säkerhetsforskare och illvilliga aktörer får tillgång till samma information ,
• externa granskare kan få svårt att verifiera varje tjänst och varje version i produktionsmiljön, och
• en sårbarhet som upptäcks efter publicering redan är offentlig och därför kan utnyttjas innan den hinner åtgärdas.

Det innebär inte att öppen kod automatiskt är farligare än sluten kod. Offentlig granskning kan också göra det lättare att upptäcka och rätta fel. Den avgörande frågan blir hur X hanterar känsliga uppgifter, beroenden, hemliga nycklar och produktionskonfiguration – samt hur företaget kan bevisa att det som granskas faktiskt är det som används.

Slutsats: historiskt löfte, oklart genomförande

Musks besked den 15 juli är långt mer omfattande än januaris löfte om att öppna rekommendationsalgoritmen. Han lovar nu hela X:s kodbas, inga undantag och extern kontroll av att den offentliga koden matchar produktionssystemet . Om det genomförs skulle det vara ett av de mest långtgående transparensförsöken som en större social plattform har gjort.

Samtidigt återstår de viktigaste praktiska frågorna. X har inte angett någon tidsplan och har ännu inte presenterat ett kodförråd, en licens eller en teknisk definition av kodbasens omfattning . Löftet kommer dessutom i ett läge där AI-genererade sårbarheter ökar, antalet sårbarheter per kodbas har mer än fördubblats enligt Black Ducks rapport för 2026 , och OpenSSF varnar för ett växande hot mot ekosystemet för öppen källkod .

Det stora testet blir därför inte bara om X publicerar koden, utan om företaget kan visa att publiceringen är komplett, aktuell och säker nog för att öppenheten ska skapa mer förtroende än nya angreppsmöjligheter.