Grok Build : 35 578 applications ouvertes, 24 internes retirées

Des chercheurs ont identifié des milliers d’applications Grok Build accessibles sans authentification, dont certaines exposaient des données sensibles. Vingt-quatre projets internes liés à l’éditeur ont été retirés, mais l’étendue des expositions et leur correction globale restent incertaines.

Remédiation partielle et incertitudes sur l’ampleur restante

Après avoir reçu un signalement et répondu à des questions, l’éditeur a supprimé les 24 applications internes identifiées, développées par des membres de SpaceXSI et de X. Parmi ces applications figuraient un schéma d’intégration commercial confidentiel ainsi qu’une représentation de 594 comptes clients. Les chercheurs indiquaient que les applications créées par d’autres utilisateurs demeuraient accessibles lors de la publication de leur rapport. Il n’a pas été confirmé que le problème ait été résolu dans son ensemble ni qu’une exploitation malveillante ait eu lieu.

Des liens faciles à retrouver et des options qui ouvrent trop large

Chaque application Grok Build publiée reçoit une adresse composée de mots aléatoires avant le domaine grok.me, rendant ses données accessibles à toute personne disposant du lien. Ces sous-domaines peuvent être recensés via des bases de données DNS passives, qui conservent l’historique des résolutions, ce qui a permis aux chercheurs d’identifier des milliers d’adresses sans avoir à les deviner individuellement. Sur un compte payant testé, l’option « Anyone with the link » était présélectionnée. SpaceXSI conteste cependant l’idée d’une publication automatique et affirme que l’utilisateur doit publier l’application, avec un réglage privé par défaut pour les comptes salariés.

Accès sans authentification et failles de contrôle d’identité

Lors d’un examen, 35 578 applications sur 37 571, soit 94,7 %, étaient accessibles sans authentification. Dans un test séparé, le bouton « Continuer avec Google » permettait à n’importe quel compte Google d’accéder à une application, donnant la possibilité de consulter, modifier et supprimer des données. Ce test ne s’applique pas à toutes les applications Grok Build, mais il montre qu’un écran de connexion ne garantit pas la sécurité si les autorisations sont mal configurées.

Échelle des expositions et exemples concrets

Les chercheurs rapportent que plus de 35 000 applications Grok Build pouvaient être consultées sans authentification. Ils évaluent qu’environ 10 % de ces applications rendaient publiques des données internes ou personnelles, et recensent entre 650 et 800 cas présentant un risque élevé ou critique. Parmi les cas mentionnés se trouvent un dossier médical d’un patient en soins intensifs, une liste de plus de 3 500 salariés d’un groupe hospitalier, ainsi qu’une application de gestion du temps affichant 18 comptes accompagnés de mots de passe en texte clair. Certaines des applications accessibles étaient cependant de simples jeux ou des calculatrices.

Alerte, calendrier et garde-fous à vérifier

Claroc a signalé les problèmes à SpaceXSI les 8 et 9 novembre, puis a publié son enquête GhostShares 2 le 10 novembre 2026. Grok Build permet de créer des applications sans coder, à partir de descriptions en langage naturel. Les chercheurs soulignent que la rapidité de mise en ligne dépasse les capacités de vérification de sécurité, ce qui constitue une faiblesse structurelle. Le gain de temps est réel, mais l’identité, les droits d’accès et la protection des bases de données ne sont pas automatiquement assurés. Il est conseillé aux utilisateurs de vérifier les paramètres de publication, de tester l’accès avec un compte extérieur et d’ouvrir les applications dans un navigateur déconnecté. Avant d’y héberger des données sensibles, il faut s’interroger sur qui peut effectivement y accéder. Les chercheurs ont également relevé des informations confidentielles liées à une entreprise d’Elon Musk et le risque que des tiers retrouvent des liens partagés entre collègues.