Sur 37 571 applications créées avec Grok Build et mises en ligne, 35 578 pouvaient être ouvertes par n’importe qui, sans connexion, selon une étude publiée le 10 novembre 2026 par la société de sécurité Claroc. Parmi elles, 650 à 800 contenaient des données privées, dont des documents internes de SpaceXSI, des données médicales et des mots de passe en clair.
Qu’est-ce que Grok Build ?
Grok Build est le mode de création d’applications intégré à Grok, l’assistant d’intelligence artificielle d’Elon Musk. L’utilisateur décrit en quelques phrases l’outil souhaité, et l’IA écrit le code puis met l’application en ligne.
C’est un peu comme commander un meuble sur mesure en expliquant simplement ce que l’on veut ranger : on obtient un résultat utilisable sans savoir menuiser. Ce confort a toutefois un revers, parce que l’utilisateur ne voit pas toujours où son application est publiée, ni qui peut y accéder.
Que contenaient les applications exposées ?
La grande majorité des applications ouvertes étaient sans enjeu : petits jeux, calculatrices, pages d’accueil de sites. Le problème vient du reste, soit environ une application sur dix contenant des informations sensibles.
- des plans commerciaux et des listes d’employés de SpaceXSI ;
- des données médicales ;
- des mots de passe stockés en clair, sans aucun chiffrement ;
- des données internes d’une trentaine d’autres organisations.
Vingt-quatre de ces applications appartenaient à des salariés de SpaceXSI et du réseau social X. Elles ont été retirées après le signalement des chercheurs.
Comment ces applications Grok Build ont-elles pu fuiter ?
Deux éléments se combinent, d’après l’étude. D’abord, chaque application publiée reçoit sa propre adresse, et ces adresses pouvaient être retrouvées grâce aux services de DNS passif. Le DNS, c’est l’annuaire d’Internet qui relie un nom de site à un serveur, et certains services gardent la trace de tous les noms consultés.
Ensuite, sur le compte payant utilisé par Claroc, l’option de partage « toute personne disposant du lien » était présélectionnée au moment de publier. Les applications ne devenaient donc pas publiques toutes seules, mais beaucoup de créateurs ont validé ce réglage sans le modifier. Les chercheurs ont aussi relevé des contrôles d’accès d’équipe défaillants sur leur propre application de test.
Que répond l’entreprise ?
SpaceXSI affirme que la publication demande plusieurs étapes et que les comptes de ses employés sont réglés par défaut sur « Seulement vous ». Dans les tests de Claroc, ce réglage bloquait bien les visiteurs extérieurs. Autrement dit, la protection existe, mais elle dépend du choix fait par chaque créateur au moment de la mise en ligne.
L’affaire rappelle d’autres incidents liés à Grok, de l’enquête européenne sur les deepfakes générés par l’assistant aux questions de confidentialité soulevées par les outils d’IA grand public.
Les bons réflexes si vous créez des applis avec l’IA
Si vous avez publié une application avec Grok Build, ou avec un autre générateur d’applications par IA, quelques vérifications s’imposent dès maintenant.
- Ouvrez les réglages de partage et choisissez « Seulement vous » ou un accès limité à votre organisation.
- Ne stockez jamais de mots de passe ni de données de santé dans une application de test.
- Supprimez les applications que vous n’utilisez plus.
- Changez tout mot de passe qui aurait pu figurer dans une application publiée.
Pour renforcer la sécurité de ses comptes, la création d’une passkey sur Google, Microsoft ou iPhone remplace le mot de passe par une clé stockée sur l’appareil. Claroc recommande de son côté que ces outils adoptent un partage privé par défaut, avec un accès réservé aux membres d’une même organisation.
