IA10 novembre 2026Annoncé

Grok Build : 35 000 applications sans identification, selon Claroc

Selon Claroc, société de sécurité, plus de 35 000 applications créées avec Grok Build, l'outil de SpaceXSI qui écrit des applications sur description, s'ouvrent à qui connaît leur adresse. Des données d'entreprises y figurent (rapport du 10 novembre).

Claroc a relevé 43 601 applications publiées à une adresse en grok.me, grâce à des services qui archivent les adresses visitées. Parmi celles qui ont répondu, 94,7 %, soit plus de 35 000, s'ouvraient sans aucune identification. Claroc estime qu'environ une application ouverte sur dix contient des données sensibles, et environ 2 % des applications des données qu'elle juge graves.
Claroc a repéré 24 applications ouvertes de SpaceXSI et de sa plateforme X, dont un plan d'accueil confidentiel pour un nouveau commercial et une carte de 594 comptes stratégiques. Elle cite aussi une liste de plus de 3 500 salariés d'un groupe hospitalier et une feuille de temps dont le code contenait des mots de passe en clair. Selon Ars Technica, SpaceXSI les a retirées après le signalement.
Selon Ars Technica, un représentant de Cursor, l'outil de programmation que SpaceXSI a racheté, affirme que les applications sont privées par défaut. Dans les essais de Claroc, au moment de publier, l'option « toute personne disposant du lien » était déjà cochée. SpaceXSI n'a pas répondu aux autres questions d'Ars Technica.

Ce que ça change pour une direction

Faites dresser la liste des outils qui créent des applications à partir d'une description (Grok Build, Lovable, Replit, Google AI Studio) que vos équipes utilisent sans passer par la direction informatique.
Exigez que toute application interne publiée soit réservée à des invités, puis testez-la vous-même depuis une fenêtre de navigation privée.
Faites chercher les noms, les adresses e-mail et les mots de passe dans le code des applications déjà publiées, et retirez celles dont personne n'assume la responsabilité.

Sources :

En parler pour votre direction, 30 minutes

Analyse

Une adresse qui se trahit

Selon Claroc, chaque application publiée reçoit une adresse du type mots-au-hasard.grok.me. Or des services archivent les adresses visitées : ceux qui les consultent retrouvent donc les applications et peuvent les ouvrir. Selon Ars Technica, Google place la partie aléatoire de ses liens de partage à la suite du nom du site (après « .com/ »), là où ces services ne la voient pas ; Claude, ChatGPT et Gemini font de même pour leurs liens de partage de conversation.

Ce qui est établi, ce qui ne l'est pas

Claroc a vérifié que deux applications créées pour l'occasion étaient modifiables par des inconnus : un visiteur a pu y ajouter une ligne, et un compte Google non invité a pu lire, modifier et supprimer des fiches. Elle n'a rien testé sur les applications d'autrui. Ses estimations (une application sur dix avec des données sensibles, 2 % avec des données graves) restent les siennes. Selon Claroc, Lovable, Bolt (autre outil du même genre) et Replit exposent aussi leurs adresses, mais elle y a trouvé moins de données sensibles.

Une application peut changer à chaque nouvelle demande

Selon Claroc, une application sans danger hier peut contenir des fiches clients aujourd'hui, après une nouvelle demande faite à l'outil. Un commercial peut publier une application en quelques minutes. Claroc cite une entreprise qui comptait 500 applications de ce type, chacune modifiée à chaque nouvelle demande.