La fonctionnalité de partage de l’outil d’encodage de vibration GrokBuild de SpaceXSI a rendu accessibles des milliers d’applications, dont certaines contenaient des informations confidentielles. Selon des chercheurs en cybersécurité de Claroc, ce problème a également touché des applications internes créées par SpaceXSI et des employés d’X !
Plus de 35 000 applications Grok accessibles hors ligne
Claroc affirme avoir identifié 35 578 applications Grok encore accessibles à quiconque possédait leur adresse, sans authentification. La majorité de ces applications ne contenait pas d’informations sensibles, mais environ 2 % avaient des données suffisamment importantes pour être considérées comme à risque élevé ou critique, selon les chercheurs.
Parmi les contenus découverts se trouvaient des informations provenant d’un groupe hospitalier, d’un service d’incendie et de grandes entreprises. SpaceXSI n’a pas été épargnée : 24 applications créées par ses employés ou ceux d’X.
“Nous étions stupéfaits,” expliquent les chercheurs. “L’entreprise qui développe Grok avait du contenu interne accessible à quiconque possédait le lien.”
Les sous-domaines de Grok Build au cœur du problème
La vulnérabilité réside dans la manière dont Grok Build génère ses adresses d’application. Le service utilise quatre mots choisis au hasard et les place sur un sous-domaine de grok.me. Ces adresses peuvent apparaître dans des bases de données DNS passives et devenir facilement découvrables, même si leur créateur ne les a jamais rendues publiques.
Claroc indique avoir signalé le problème à SpaceXSI. La société a alors désactivé ses 24 applications concernées sans fermer celles des autres utilisateurs. SpaceXSI souligne qu’une application reste privée tant que son créateur ne décide pas de la publier.
Cet incident rappelle surtout qu’un simple lien – bien que difficile à deviner – ne constitue pas une véritable protection. Alors que les outils de codage Vibe permettent de créer et publier des applications en quelques minutes, la configuration d’accès et l’authentification deviennent aussi critiques que le code lui-même.
