Des applications Grok Build exposées sans connexion

MMarc

La société de sécurité Claroc a découvert une faille qui rendait accessibles sans connexion des dizaines de milliers d’applications créées avec Grok Build, selon Ars Technica. La faiblesse concernait les liens de partage : des projets supposés accessibles uniquement avec leur adresse exacte pouvaient être retrouvés en énumérant ces liens. Dans son test, Claroc a constaté que 35 578 des 37 571 applications encore en ligne s’ouvraient sans connexion ; les 1 993 autres renvoyaient une erreur d’accès, selon Unite.AI. Grok Build permet de créer une application en la décrivant dans une conversation, puis de la publier depuis cette même fenêtre de chat. Cette simplicité de création et de publication ne s’accompagnait donc pas toujours d’un accès réservé aux personnes disposant du lien prévu. Parmi les contenus exposés figuraient des plans d’affaires internes, des propositions publicitaires, des résultats d’examens médicaux, des listes de contrôle d’une compagnie de croisière, ainsi que des noms et des numéros d’identification d’employés. Claroc a également repéré 24 applications attribuées à des employés de SpaceXSI et de X ; certaines contenaient des informations internes, dont un plan d’intégration confidentiel, une carte commerciale couvrant 594 comptes et des adresses de systèmes internes.