Grok Build, un outil de programmation par IA, rendait par défaut les applications accessibles à toute personne disposant du lien, selon les tests décrits par Ars Technica. Le chercheur en sécurité Aprozper a indiqué qu’une recherche dans les données DNS passives avait fait ressortir 43 601 liens se terminant par grok.me. Il a constaté que plus de 35 000 d’entre eux permettaient d’ouvrir des applications et d’accéder aux données qu’elles stockaient, sans invitation.
Ars décrit ces liens publics comme représentant près de 95 % du total, mais les chiffres avancés ne concordent pas : 35 000 sur 43 601, c’est environ 80 %. L’article n’explique pas cet écart. Parmi les éléments exposés figuraient des informations sensibles d’entreprises, dont certaines appartenant à SpaceXSI, selon Ars. Toute personne disposant d’un lien pouvait ouvrir l’application correspondante et consulter les données qu’elle contenait.
La société et le chercheur ne sont pas d’accord
Un représentant de Cursor, le service de programmation par IA récemment acquis par SpaceXSI, a déclaré à Ars que les applications Grok Build sont privées par défaut et ne deviennent publiques que si leurs créateurs choisissent de les partager. Les tests d’Aprozper ont révélé le contraire : le réglage par défaut était « Toute personne disposant du lien », et les utilisateurs devaient sélectionner « utilisateurs invités » ou « vous uniquement » pour restreindre l’accès.
Le représentant n’a pas répondu aux questions de suivi sur la possibilité que SpaceXSI ait délibérément exposé des informations internes, sur les raisons pour lesquelles l’entreprise avait supprimé des données après qu’Ars l’eut interrogée à ce sujet, ni sur son intention d’avertir les clients dont les informations auraient également pu être exposées. L’article ne précise pas combien de personnes ont consulté ou téléchargé ces données.
Le partage de liens peut présenter des risques similaires
Selon Ars, des créateurs d’applications comme Lovable, Bolt et Replit attribuent également des adresses Web aux applications, ce qui peut rendre ces adresses visibles dans les enregistrements DNS. Aprozper a déclaré que c’est sur Grok qu’il avait trouvé les données d’entreprise les plus sensibles ; l’article ne précise pas si les autres services utilisent le même réglage de partage par défaut que Grok.
Certains autres services d’IA structurent leurs liens de partage différemment. Les artefacts Claude, les conversations partagées de ChatGPT et les liens Gemini placent leur chaîne secrète aléatoire dans le chemin de l’URL, que le DNS ne révèle pas. Ars recommande aux utilisateurs de Grok Build de choisir « inviter d’autres personnes », sauf s’ils souhaitent rendre une application largement accessible.
Pourquoi c'est important
Les personnes qui utilisent Grok Build pour stocker des informations professionnelles devraient vérifier le réglage de partage de chaque application et sélectionner « utilisateurs invités » ou « vous uniquement » si elles ne souhaitent pas la rendre largement accessible. Ars rapporte que des informations sensibles d’entreprises ont été exposées, mais ne précise ni combien de personnes y ont accédé, ni si les données d’autres utilisateurs ont été concernées.
