# Des liens Grok Build exposaient des données confidentielles, selon Ars

> Un chercheur a découvert que des dizaines de milliers de liens vers des applications Grok Build étaient accessibles à toute personne les possédant, y compris ceux qui donnaient accès à des informations sensibles d’entreprises.

Oossa · 2026-11-10 · https://oossa.com/fr/grok-build-links-exposed-confidential-app-data-ars-reports

Grok Build, un outil de programmation par IA, rendait par défaut les applications accessibles à toute personne disposant du lien, selon les tests décrits par Ars Technica. Le chercheur en sécurité Aprozper a indiqué qu’une recherche dans les données DNS passives avait fait ressortir 43 601 liens se terminant par grok.me. Il a constaté que plus de 35 000 d’entre eux permettaient d’ouvrir des applications et d’accéder aux données qu’elles stockaient, sans invitation.

Ars décrit ces liens publics comme représentant près de 95 % du total, mais les chiffres avancés ne concordent pas : 35 000 sur 43 601, c’est environ 80 %. L’article n’explique pas cet écart. Parmi les éléments exposés figuraient des informations sensibles d’entreprises, dont certaines appartenant à SpaceXSI, selon Ars. Toute personne disposant d’un lien pouvait ouvrir l’application correspondante et consulter les données qu’elle contenait.

## La société et le chercheur ne sont pas d’accord

Un représentant de Cursor, le service de programmation par IA récemment acquis par SpaceXSI, a déclaré à Ars que les applications Grok Build sont privées par défaut et ne deviennent publiques que si leurs créateurs choisissent de les partager. Les tests d’Aprozper ont révélé le contraire : le réglage par défaut était « Toute personne disposant du lien », et les utilisateurs devaient sélectionner « utilisateurs invités » ou « vous uniquement » pour restreindre l’accès.

Le représentant n’a pas répondu aux questions de suivi sur la possibilité que SpaceXSI ait délibérément exposé des informations internes, sur les raisons pour lesquelles l’entreprise avait supprimé des données après qu’Ars l’eut interrogée à ce sujet, ni sur son intention d’avertir les clients dont les informations auraient également pu être exposées. L’article ne précise pas combien de personnes ont consulté ou téléchargé ces données.

## Le partage de liens peut présenter des risques similaires

Selon Ars, des créateurs d’applications comme Lovable, Bolt et Replit attribuent également des adresses Web aux applications, ce qui peut rendre ces adresses visibles dans les enregistrements DNS. Aprozper a déclaré que c’est sur Grok qu’il avait trouvé les données d’entreprise les plus sensibles ; l’article ne précise pas si les autres services utilisent le même réglage de partage par défaut que Grok.

Certains autres services d’IA structurent leurs liens de partage différemment. Les artefacts Claude, les conversations partagées de ChatGPT et les liens Gemini placent leur chaîne secrète aléatoire dans le chemin de l’URL, que le DNS ne révèle pas. Ars recommande aux utilisateurs de Grok Build de choisir « inviter d’autres personnes », sauf s’ils souhaitent rendre une application largement accessible.

## Les faits

- La recherche d’Aprozper dans les données DNS passives a fait ressortir 43 601 liens se terminant par grok.me.
- Selon Ars, plus de 35 000 liens étaient publics, ce qui représenterait également près de 95 % du total ; ces chiffres ne concordent pas mathématiquement.
- Les options de partage indiquées pour Grok Build étaient « Toute personne disposant du lien », « utilisateurs invités » et « vous uniquement ».
- Un représentant de Cursor a contesté la conclusion d’Aprozper selon laquelle l’accès par toute personne disposant du lien était le réglage par défaut.

## Pourquoi c'est important

Les personnes qui utilisent Grok Build pour stocker des informations professionnelles devraient vérifier le réglage de partage de chaque application et sélectionner « utilisateurs invités » ou « vous uniquement » si elles ne souhaitent pas la rendre largement accessible. Ars rapporte que des informations sensibles d’entreprises ont été exposées, mais ne précise ni combien de personnes y ont accédé, ni si les données d’autres utilisateurs ont été concernées.

## Sources et références

1. [Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI](https://arstechnica.com/security/2026/11/grok-build-coding-agent-leaks-oodles-of-confidential-info-some-belonging-to-spacexsi/) – Ars Technica, 2026-11-10

Dernière mise à jour: 2026-11-10