Grok Build, l’outil d’IA qui permet de créer des applications sans coder, se retrouve au cœur d’une affaire de fuite de données embarrassante. Plus de 35 000 applications étaient accessibles sans connexion, selon des chercheurs en cybersécurité.
Le pire dans cette histoire ? Certaines données exposées par Grok Build contenaient des informations confidentielles, y compris celles de l’entreprise d’Elon Musk. Mais ce n’est pas tout. Vous partagez une application créée avec une IA à deux collègues. Pourtant, des inconnus pourraient eux aussi retrouver son adresse et accéder à son contenu. C’est le scénario révélé par Claroc dans son enquête GhostShares 2, publiée le 10 novembre 2026.
Plus de 35 000 applications Grok Build accessibles sans connexion
Pour rappel, Grok Build permet de décrire une application en langage naturel, puis de laisser l’IA la fabriquer. C’est le principe du vibe coding, accessible sans maîtriser la programmation.
Seulement, fabriquer une application et la protéger sont deux métiers différents. Selon Claroc, sur les 37 571 applications encore en ligne lors de son examen, 35 578, soit 94,7 %, s’ouvraient sans authentification. Beaucoup n’étaient toutefois que de simples jeux ou calculatrices.
Selon les chercheurs, environ une application Grok Build sur dix exposait des données internes ou personnelles. Ils classent ainsi entre 650 et 800 applications parmi les cas à risque élevé ou critique.
Les exemples rapportés donnent une tout autre dimension à l’affaire. Claroc évoque notamment un dossier médical qui concerne un patient en soins intensifs et une liste regroupant plus de 3 500 membres du personnel d’un groupe hospitalier. Une autre application de gestion des heures contenait même 18 comptes avec leurs mots de passe stockés en clair.
Le plus embarrassant ? Selon leur enquête, 24 applications avaient été créées par des employés de SpaceXSI et de X, les entreprises liées à Grok. Elles comprenaient notamment un plan d’intégration commercial confidentiel et une cartographie de 594 comptes clients. L’entreprise qui fournit l’outil n’aurait donc pas échappé au risque qu’il fait courir à ses propres utilisateurs.
Le vrai problème ? Vos liens prétendument discrets sont retrouvables
C’est ici que l’histoire devient plus grave. Une application Grok Build publiée reçoit une adresse comportant plusieurs mots aléatoires avant grok.me, via laquelle les données qu’elle contient deviennent accessibles.
Vous pourriez croire que personne ne tombera dessus par hasard. Mais ces noms de sous-domaines peuvent apparaître dans des bases de données DNS passives, utilisées pour conserver l’historique des résolutions de noms de domaine. Les chercheurs ont ainsi pu recenser des milliers d’adresses sans avoirr à les deviner une par une.
Une adresse compliquée n’est donc pas une véritable protection d’accès. Le second piège se trouve dans les options de publication. Sur le compte payant testé par Claroc, l’option « Anyone with the link » (toute personne disposant du lien) était présélectionné.
SpaceXSI conteste toutefois l’idée d’une publication automatique. Selon l’entreprise, l’utilisateur doit publier lui-même l’application. Les comptes de ses salariés disposent d’un réglage privé par défaut.
Une connexion affichée ne suffit pas
Il y a pire que la découverte des URL. Dans une application de travail d’équipe générée pour leurs propres tests, les chercheurs expliquent que le bouton « Continuer avec Google » laissait entrer n’importe quel compte Google.
Un utilisateur extérieur pouvait alors, d’après eux, consulter, modifier et supprimer des données. Ce test ne vaut pas pour toutes les applications Grok Build, mais il rappelle qu’un écran de connexion ne garantit rien si les autorisations sont mal programmées.
Voilà la faiblesse structurelle : des applications naissent et sont mises en ligne plus vite que les équipes ne peuvent vérifier leur sécurité. C’est une limite plus large de la multiplication des logiciels créés par IA. Le gain de temps reste réel. En revanche, les contrôles d’identité, les droits d’accès et la protection des bases de données ne deviennent pas fiables par magie.
SpaceXSI retire ses applications, mais qu’en est-il pour les autres utilisateurs ?
Claroc indique avoir prévenu SpaceXSI les 8 et 9 novembre. Après les questions d’Ars Technica, les 24 applications internes signalées ont été retirées. D’après les chercheurs, celles des autres utilisateurs restaient accessibles au moment de la publication de leur rapport. Leur correction générale et une éventuelle exploitation malveillante restent non établies.
Si vous utilisez ce type d’outil, vérifiez donc sans attendre les paramètres de publication et ouvrez vos applications dans un navigateur déconnecté. Testez également l’accès aux données avec un compte extérieur.
Et avant de confier des informations sensibles à une application générée par IA, demandez-vous qui peut réellement les lire. Créer un logiciel en quelques minutes, c’est pratique. Découvrir après coup qu’il était ouvert à tous l’est beaucoup moins.
- Partager l'article :
