Grok Build a été conçu pour accélérer la création et le partage d’applications. Mais, selon des chercheurs de l’entreprise de sécurité Claroc, cette commodité s’est transformée en une vaste exposition de données, rendant accessibles à quiconque obtenait leurs liens des milliers d’applications — et les informations commerciales qu’elles contenaient.¹

Le problème a commencé avec l’architecture de partage par liens de Grok Build. Le service utilisait des « mots de dés » générés aléatoirement dans des sous-domaines tels que cinder-crane-sand-frost.grok.me, censés rendre les URL difficiles à deviner. Pourtant, comme cet élément aléatoire figurait avant le domaine plutôt que dans le chemin de l’URL, des bases de données DNS passives pouvaient cataloguer les adresses. Claroc a indiqué qu’une recherche avait trouvé 43 601 liens grok.me, dont plus de 35 000 ouvraient des applications accessibles publiquement.¹

Parmi les documents exposés figuraient des dossiers d’examens médicaux, des listes d’employés, des données commerciales, des propositions destinées à des clients et des informations liées à un sous-traitant de la défense. La découverte était particulièrement embarrassante pour SpaceXSI : Claroc a identifié 24 applications apparemment créées par l’entreprise elle-même, notamment des propositions publicitaires, des informations sur les territoires de vente et un document présenté comme un plan d’intégration confidentiel. « Nous avons été choqués », a déclaré l’entreprise, affirmant que des documents internes avaient été accessibles « à quiconque détenait le lien ». ¹

Chronologie : Lundi soir, Claroc a constaté que les 24 applications de SpaceXSI exposaient des informations. Après qu’Ars Technica a envoyé des questions, SpaceXSI a commencé à retirer les liens en quelques heures ; au moment de la publication, ces applications renvoyaient des erreurs « application introuvable ». ¹ Un rapport distinct a également indiqué que l’entreprise n’avait pas immédiatement répondu à une demande de commentaire.²

La position de SpaceXSI, relayée par un représentant de Cursor, est que « les applications sont privées par défaut et rien ne devient public à moins que le créateur ne choisisse de le partager ». Les tests de Claroc contestent directement cette version : les chercheurs ont déclaré que Grok Build appliquait par défaut le réglage « Toute personne disposant du lien », obligeant les utilisateurs à passer activement à « utilisateurs invités » ou « vous uniquement ».¹

Cet épisode constitue un avertissement qui dépasse le cadre d’un seul produit. D’autres créateurs d’applications d’IA génèrent également des adresses web susceptibles d’être exposées via le DNS, a déclaré Claroc, même si Grok Build est celui où l’entreprise a trouvé les données d’entreprise les plus sensibles. Pour les utilisateurs, la leçon immédiate est claire : un lien partageable n’est pas la même chose qu’un contrôle d’accès.¹