Veille menaces / Faille
Grok Build : la plupart des applications créées avec l'outil d'IA s'ouvraient à tous, certaines avec des données de salariés et de patients
Claroc Research a constaté que l'outil de création d'applications de Grok présélectionne « Anyone with the link » à la publication, et que les noms des applications se retrouvent avec des techniques courantes de découverte de sous-domaines. Sur 37 571 applications Grok Build encore en ligne, 35 578 (94,7 %) s'ouvraient sans connexion. Parmi elles : l'annuaire de plus de 3 500 salariés d'un groupe hospitalier, le script d'une application de feuilles de temps contenant 18 comptes avec mots de passe en clair, et des applications d'employés de SpaceXSI et de X, dont une proposition publicitaire à une agence fédérale américaine marquée confidentielle. SpaceXSI a retiré ses 24 applications internes ; aucun changement du réglage par défaut pour les autres utilisateurs n'a été signalé.
- Secteur
- Tous secteurs
- Point d'entrée
- Exposé ou mal configuré
- Produit ou fournisseur
- Grok Build, Grok
- Comment c'est arrivé
- À la publication d'une application Grok Build, « Anyone with the link » est déjà sélectionné, selon Claroc ; « Only you » et « Invited users » existent mais ne sont pas le réglage par défaut. Claroc a listé 43 601 noms d'applications sous grok.me avec des techniques courantes de découverte de sous-domaines, puis a chargé une fois la première page de chaque application sans être connecté. Le chercheur rappelle que les services de DNS passif permettent à n'importe qui de rechercher ces noms par motif. Dans une application d'équipe que Grok a créée pour le test de Claroc, « Continue with Google » permettait à n'importe quel compte Google de lire, modifier et supprimer des données.[1][2] Vérifié le 12 nov. 2026
- Ce qui a été volé
- Aucun vol n'a été signalé : Claroc décrit des données que n'importe qui pouvait ouvrir, pas des données prises par un attaquant. Exemples relevés : l'annuaire consultable de plus de 3 500 salariés d'un groupe hospitalier, la fiche de réanimation d'un patient, une application de feuilles de temps contenant 18 comptes avec mots de passe en clair, le planning de garde d'un service d'incendie, et des documents d'employés de SpaceXSI et de X (un plan d'intégration, une carte de 594 comptes commerciaux, une proposition publicitaire à une agence fédérale américaine marquée confidentielle).[1][2][3] Vérifié le 12 nov. 2026
- Qui est touché
- Les personnes et organisations qui ont créé et publié des applications Grok Build, et les personnes dont les données s'y trouvaient. Claroc estime qu'environ 1 application ouverte sur 10 contenait des données internes ou personnelles, et un échantillon vérifié à la main situe le total entre 650 et 800 applications avec des données privées environ. Le chercheur a identifié 30 organisations, dont 26 de plus de 1 000 salariés et 6 du Fortune 500, ainsi que 24 applications d'employés de SpaceXSI et de X.[1] Vérifié le 12 nov. 2026
- Acteur
- Non attribué
Chronologie
- Claroc signale le problème à SpaceXSI via l'adresse de son fichier security.txt, avec les chiffres, quatre correctifs proposés et deux applications d'employés. [1]
- Claroc signale les 22 autres applications d'employés de SpaceXSI et de X qu'il a trouvées ouvertes. [1]
- Claroc publie ses résultats. SpaceXSI retire ses 24 applications internes. L'entreprise indique à la presse que les applications Grok restent privées tant que leurs créateurs ne choisissent pas de les partager ; elle n'a pas annoncé de changement du réglage par défaut ni de contact avec les propriétaires d'applications. [1][3]
- Claroc commence à prévenir lui-même par e-mail les organisations concernées et ne publie aucun nom ni titre d'application. [1]