Grok Build expose des milliers de données confidentielles
Original : Grok Build coding agent leaks oodles of confidential info, some belonging to SpaceXSI
Pourquoi c'est important
La faille révèle un risque systémique propre aux outils d'IA grand public utilisés en entreprise.
Un chercheur a découvert 35 000 projets Grok Build accessibles publiquement, révélant des données internes de SpaceXSI, Tesla, un contractant de la Marine américaine et d'autres entreprises Fortune 500.
Grok Build, l'agent de développement vibe-coding de SpaceXSI (fusion de SpaceX et xAI), expose massivement des informations confidentielles via ses liens de partage. La firme de sécurité Claroc a identifié une faille de conception : bien que les URLs soient randomisées, un mécanisme d'énumération permet à n'importe qui de parcourir des milliers de projets actifs.
Parmi les données exposées : 3 784 examens médicaux de travailleurs d'une entreprise péruvienne, les noms et bonus de 22 techniciens Tesla, la liste de 108 personnels d'un contractant logistique de la Marine américaine, ainsi que des listes d'équipage d'une croisière de luxe. Plus gênant encore : 24 applications internes de SpaceXSI elle-même étaient concernées, exposant un plan d'intégration confidentiel pour l'équipe commerciale, une carte de 594 comptes clients et des adresses de systèmes internes.
"Nous étions stupéfaits", écrit Claroc dans son rapport. "La société qui fabrique Grok avait ses propres documents internes ouverts à quiconque possédait le lien."
Après avoir notifié SpaceXSI sans réponse, Claroc a interpellé directement Elon Musk et le responsable Grok, Matt Palmer, sur X. SpaceXSI a commencé à retirer les liens quelques heures après qu'Ars Technica eut contacté la société pour commentaires. Les 24 apps internes retournent désormais une erreur "app not found".