Des applications et documents internes ont été rendus accessibles via des liens Grok découverts par des services DNS passifs. Selon Claroc, des milliers d'utilisateurs sont concernés, dont SpaceXSI. L'entreprise a supprimé 24 de ses propres applications après une interpellation publique, sans fermer celles d'autres organisations.
SpaceXSI supprime 24 applications, mais laisse ouvertes celles d'autres organisations
SpaceXSI a supprimé 24 de ses propres applications qui étaient exposées par des liens Grok. Claroc indique que l'entreprise n'a pas pris de mesures similaires pour les applications restées ouvertes d'autres utilisateurs et organisations de Grok. Selon Claroc, SpaceXSI n'aurait pas réagi avant que Musk et un autre responsable de l'entreprise ne soient mentionnés sur X. Claroc a informé SpaceXSI et les autres entreprises concernées de ses découvertes, et certaines organisations ont agi rapidement pour limiter l'exposition.
Documents exposés et ampleur : Fortune 500 et données d'employés
Cette fuite a affecté plusieurs milliers d'utilisateurs, parmi lesquels figurait SpaceXSI. Des données sensibles relatives à des employés ont été rendues publiques, issues notamment d'un groupe hospitalier, d'un service d'incendie ainsi que de SpaceXSI. Une seule des applications concernées imposait la saisie d'un mot de passe. Six des entreprises impliquées faisaient partie du classement Fortune 500 et 26 comptaient plus de 1 000 salariés. Claroc estime qu'environ deux pour cent des cas concernaient des documents considérés comme élevés ou critiques. Les chercheurs ont désigné ces pages sous le nom de GhostShares, car elles étaient accessibles et consultables par toute personne, même sans avoir reçu le lien. Ils ont aussi relevé que des ressources internes de la société éditrice de Grok étaient ouvertes à quiconque possédait l'URL. En ce qui concerne SpaceXSI, les fichiers rendus publics incluaient un plan d'intégration, une carte des territoires de vente couvrant 594 comptes stratégiques, huit offres publicitaires sur X, quatre tableaux de comptes publicitaires actifs ainsi que deux exemplaires d'un manuel de sécurité de marque X.
Vous codez avec l’IA ?
Outils, agents et nouveautés dev IA décryptés, chaque soir en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisissez votre rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
La conception des liens Grok Build a permis l'indexation passive
Grok Build générait des liens à partir de phrases aléatoires de quatre mots, offrant jusqu'à 38 bits d'entropie. Selon Claroc, la partie secrète du lien était placée à gauche du domaine, alors que Google Gemini la place à droite. Ce choix, combiné à la gestion des liens par Grok, a permis à des serveurs DNS passifs de découvrir ces URLs et de les enregistrer dans des bases de données accessibles publiquement.
