Grok Build : une faille expose des données de SpaceXSI et d'utilisateurs
Grok Build plaçait la partie secrète de ses liens là où les services DNS pouvaient la consigner. Même les cartes commerciales de SpaceXSI étaient accessibles.
SUMO · le puzzle de nombres
Dialo · apprenez les langues en parlant
ediviewer · lisez les fichiers EDI comme des documents
giftdetect · le bon cadeau en quelques minutesL'entreprise qui développe Grok a laissé ses propres documents internes ouverts à quiconque avait le lien. C'est ce qu'affirme la société de sécurité Claroc : une faille de Grok Build, l'agent de « vibe coding » de SpaceXSI (un outil qui crée et publie des applications à partir de simples consignes en langage courant), a exposé les données de milliers d'utilisateurs.
Parmi elles, des informations sur des salariés d'un groupe hospitalier et d'une caserne de pompiers, ainsi que des fichiers de SpaceXSI : un plan d'intégration, une carte de territoires commerciaux couvrant 594 comptes stratégiques, huit propositions publicitaires pour X, quatre tableaux de comptes annonceurs actifs et deux exemplaires d'un guide de sécurité de marque de X. Une seule des applications exposées demandait un mot de passe. Selon Claroc, six autres entreprises touchées figurent au Fortune 500 et 26 comptent plus de 1 000 salariés. Elle estime qu'environ 2 % des contenus étaient assez sensibles pour être jugés élevés ou critiques.
Comment la faille de Grok Build est-elle apparue ?
Tout tient à la construction des liens. Grok Build utilisait des « dice words », des suites de quatre mots tirées au hasard, avec jusqu'à 38 bits d'entropie (une mesure de la difficulté à les deviner). Mais cette suite se trouvait à gauche du nom de domaine, alors que Gemini, de Google, la place à droite.
La différence compte. Les services de DNS passif, qui enregistrent les noms de domaine consultés par les appareils, pouvaient capter ces liens et les stocker dans des bases consultables publiquement. Des personnes à qui l'on n'avait jamais transmis le lien pouvaient donc trouver la page. Claroc parle de GhostShares.
Qu'a fait SpaceXSI ?
Claroc a prévenu SpaceXSI et les entreprises concernées, et certaines ont réagi vite. SpaceXSI, elle, n'aurait répondu qu'après que Claroc a mentionné Elon Musk et un autre responsable sur X. Elle a ensuite retiré 24 de ses propres applications exposées.
Selon Claroc, elle n'a pas fait de même pour les applications d'autres utilisateurs et organisations. Si vous avez partagé une création Grok Build par lien, vérifiez ce que la page montre à un inconnu.
Des apps à découvrir
SUMO : le puzzle de nombresTouche les bonnes cases, additionne, atteins l'objectif. Facile à apprendre, difficile à maîtriser. Gratuit, pour tous les âges.
Dialo : apprenez les langues en parlantDiscutez avec un partenaire IA ; chaque phrase revient corrigée et expliquée dans votre langue. 9 langues, de A1 à C2.
ediviewer : lisez les fichiers EDI comme des documentsOuvrez des messages EDIFACT et X12, chaque segment expliqué, conversion JSON/XML, export PDF et Excel. Fonctionne en local, sans envoi.
giftdetect : le bon cadeau en quelques minutesChoisissez pour qui, l'occasion et la personnalité. Le moteur lit les descriptions de produits de boutiques locales et classe ce qui convient. Gratuit, sans inscription.
Plus d'actus de ce jour
Tout voir →
Nāpōwawāʻenakaulua : Webb trouve la plus ancienne paire de quasars
United Airlines restreint les agents IA : l’enregistrement reste humain
Jensen Huang quitte la direction de Nvidia, Colette Kress assure l'intérim
Dossier WinSxS : la commande DISM qui libère jusqu'à 10 Go
Plus dans: Sécurité
Tout voir →
ScreenConnect : la faille du plugin RMM+ infecte 288 PC
Votre téléviseur connecté vous espionne-t-il ? Les questions
iPhone de l'auteur de l'attaque de Cracovie : Apple sollicité ?
