Une fonction de partage de Grok Build, l’outil de vibe coding de SpaceXSI, a laissé accessibles des milliers d’applications contenant parfois des informations confidentielles. Selon les chercheurs en cybersécurité de Claroc, le problème a même touché des applications internes créées par des employés de SpaceXSI et de X !
Plus de 35 000 applications Grok accessibles sans connexion
Claroc affirme avoir identifié 35 578 applications Grok encore accessibles à toute personne disposant de leur adresse, sans authentification. La plupart ne contenaient rien de sensible, mais environ 2 % présentaient, selon les chercheurs, des données suffisamment importantes pour être considérées comme présentant un risque élevé ou critique.
Parmi les contenus découverts figuraient des informations provenant d’un groupe hospitalier, d’un service de pompiers et de grandes entreprises. SpaceXSI n’a pas été épargné : 24 applications créées par ses employés ou ceux de X auraient exposé notamment un plan d’intégration interne, une carte commerciale regroupant 594 comptes stratégiques, plusieurs propositions publicitaires ainsi que des documents relatifs à la sécurité des marques sur X.
« Nous avons été stupéfaits », expliquent les chercheurs. « L’entreprise qui fabrique Grok avait elle-même du contenu interne accessible à toute personne possédant le lien. »
Les sous-domaines de Grok Build au cœur du problème
La faiblesse provient de la façon dont Grok Build génère les adresses de ses applications. Le service utilise quatre mots choisis aléatoirement, mais les place dans un sous-domaine de grok.me. Ces adresses peuvent alors apparaître dans des bases de données DNS passives et devenir découvrables, même si leur créateur ne les a jamais diffusées publiquement.
Claroc indique avoir signalé le problème à SpaceXSI. L’entreprise a ensuite désactivé ses 24 applications concernées sans toutefois fermer celles appartenant à d’autres utilisateurs. SpaceXSI souligne de son côté qu’une application reste privée jusqu’à ce que son créateur décide de la publier.
Cet incident rappelle surtout qu’un simple lien – certes difficile à deviner – ne constitue pas une véritable protection. À mesure que les outils de vibe coding facilitent la création et la publication d’applications en quelques minutes, les réglages d’accès et l’authentification deviennent des éléments de sécurité aussi essentiels que le code lui-même.
Lisez aussi ces autres articles !
Pas d'articles en relation.
![Affiche du film Hunger Games [Collection 4 films]](https://is1-ssl.mzstatic.com/image/thumb/Video221/v4/0a/88/7f/0a887f9b-4660-a97f-384e-f54ab5b75a22/HungerGames4filmColl_2160x3240.jpg/128x128bb.jpg "Film Hunger Games [Collection 4 films]")
